Безопасность при запуске статических сборок в скретч-изображениях Docker?

Question

В настоящее время я оцениваю различные варианты уменьшения размеров изображения.Помимо alpine, есть также возможность запускать статические сборки в «чистых» изображениях с многоэтапными сборками докеров, которые большинство людей называют безопасными (и где я согласен относительно поверхности атаки).Но поскольку не требуется никакого управления пользователями и т. Д., Не будет ли это означать запуск двоичного файла с теми же правами, что и у исполняющего его демона docker?Где здесь точка безопасности?

Answer 1

Вы также можете определить пользователя также для изображений из SCRATCH, используя команду USER в Dockerfile или когда вы запускаете контейнер (--user=).Самым безопасным вариантом будет не пользователь root, указанный командой USER в Dockerfile - это будет опция контейнера по умолчанию.Если контейнеру нужен пользователь root, вы можете использовать пространства имен пользователя , поэтому реальный root не будет использоваться в контейнере.

Кстати: типичная проблема для пользователей без полномочий root - низкая привязка порта, но вы можете привязать высокие порты или использовать --cap-add net_bind_service / --sysctl net.ipv4.ip_unprivileged_port_start=0 (ядро 4.11 +).