docker run：--privileged=true选项解析（特权模式：赋予容器几乎与主机相同的权限）

文章目录

Docker的–privileged=true选项

Docker在创建和运行容器时，提供了许多命令行参数来自定义容器的行为。其中之一就是

--privileged=true

选项。此选项提供了对主机系统资源更深层次的访问权限。本文将详细解析这个选项，并探索它的用途和可能带来的风险。

1. Docker 容器的安全性

1.1 Linux Namespace 和 Capabilities

在理解

--privileged=true

选项之前，首先需要了解Docker容器的安全模型。Docker使用Linux namespace和capabilities来实现容器隔离和限制权限。

• Linux Namespace：Docker利用namespace技术，使得每个容器都有其自己的进程、网络、挂载、用户ID等独立的空间。这保证了容器与容器之间以及容器与主机之间的隔离性。
• Capabilities：Linux capabilities允许将传统的root权限分割成多个不同的能力，例如CAP_NET_ADMIN能力允许操作网络配置，CAP_CHOWN能力允许改变文件所有权。Docker默认情况下会赋予容器一些必要的capabilities，但不包括全部的能力，从而降低了被攻击的风险。

docker run --cap-add=SYS_PTRACE --rm-it ubuntu

Docker 通过

--cap-add

和

--cap-drop

两个参数，可以灵活地添加或删除容器的 capabilities。

上面

--cap-add=SYS_PTRACE

的意思就是：给容器添加 SYS_PTRACE 权限，允许容器内的进程可以 ptrace 和 debug 其他进程。

1.2 限制和权限

在默认情况下，Docker对容器的权限进行了严格的限制，只提供了有限的capabilities。此外，许多系统级别的操作（例如挂载文件系统、修改内核参数等）都是被禁止的。这种安全模型使得Docker可以在不牺牲安全性的前提下，实现轻量级的虚拟化。

然而，在某些情况下，我们可能需要赋予容器更多的权限。例如，如果我们需要在容器中运行一些需要特权的服务（如网络设备管理、硬件设备接口等），那么默认的权限可能就不够用了。这时候，

--privileged=true

选项就派上了用场。

2. Docker的–privileged=true选项

2.1 --privileged=true的作用

当使用

--privileged=true

选项运行容器时，Docker会赋予容器几乎与主机相同的权限。具体来说，这个选项做了以下两件事情：

• 给容器添加了所有的capabilities
• 允许容器访问主机的所有设备

docker run --privileged=true -it ubuntu

这意味着在一个privileged容器中，我们可以做很多平时不能做的事情，例如加载内核模块、直接操作硬件设备等。

2.2 --privileged=true的风险

尽管

--privileged=true

选项为容器提供了强大的功能，但它也带来了一些严重的安全隐患。由于privileged容器具有几乎与主机相同的权限，所以如果容器被恶意代码控制，那么攻击者就可以轻易地突破容器的边界，对主机进行任意操作。

因此，我们需要谨慎地使用

--privileged=true

选项，只在真正需要的情况下才启用它。在可能的情况下，我们应该尽量使用其他更细粒度的权限控制手段，例如通过

--cap-add

或

--device

参数来分别添加必要的capabilities或设备访问权限。

# 添加单个capabilitydocker run --cap-add=NET_ADMIN -it ubuntu

# 添加设备访问权限docker run --device=/dev/sda:/dev/xvdc -it ubuntu

3. 结论

Docker的

--privileged=true

选项提供了强大的功能，使得我们可以在容器中执行一些需要特权的操作。然而，这个选项也带来了严重的安全隐患，可能导致容器突破边界，对主机进行任意操作。因此，我们需要谨慎地使用这个选项，只在必要的情况下才启用它，并尽量使用其他更细粒度的权限控制手段。

参考链接：

• Docker Documentation
• Linux Kernel Documentation
• Linux man page for Capabilities
• Trend Micro Research