Docker安全性――Docker容器真的安全吗 docker toolbox 安装哪些坑坑洼洼

Docker安全性――Docker容器真的安全吗

我听到和读到了很多人假定Docker的容器实际上是沙箱利用程序，这意味着他们可以在他们的系统以root身份运行的Docker随机的利用程序。他们相信Docker容器实际上保护他们的主机系统。
?我听到有人说，Docker容器一样是安全的，由于在不同的虚拟机/ KVM正在运行的进程。
?我知道人们正在下载随机Docker镜像，然后启动他们自己的主机上。
?我乃至看到的PaaS服务器（还不是OpenShift）可让用户上传自己的照片，以在多租户系统上运行。
?我有1个同事谁说：“Docker行将运行从Internet下载的随机代码，并作为root运行它”
“你能走进我的客厅里？”蜘蛛对苍蝇说。
停止假定Docker和Linux内核保护你免受歹意软件侵害。

你关心吗？

如果你是否是在多租户系统运行Docker，你正在使用1个容器中运行的服务，良好的安全实践，你或许其实不需要担心。姑且认为在容器内运行的特权进程是相同的运行在容器外部特权进程。
有些人做容器的认为比正在运行的虚拟机的更好，更快的方法的毛病。从安全的角度来看，容器要弱很多，我将在本文后面掩盖。
如果你相信，我这样做， - 意思视为运行Apache你把Apache服务的系统上运行的方式相同容器中Docker的容器应被视为“容器服务”，这意味着你会做以下几点：
?尽快删除权限
?尽量以非root运行您服务
?容器内招待root，就好像它是root容器的之外
目前，我们正在告知人们在1般条件到1个容器内处理权限的进程具有相同条件的容器外运行的特权进程。
不要在系统上运行随机的Docker图象。在很多方面我看Docker容器革命类似于1999年左右的Linux的革命。在那个时候，当管理员听到1个新酷Linux的服务，他们会：
?在像rpmfind.net的地方或只是随机的的网站在Internet上搜索包
?下载程序到他们的系统
?如果通过RPM安装或使安装
?与特权运行它

怎样会错呢？

两个星期后，管理员听到关于zlib的脆弱性和具有弄清楚，如果，同时希望并祈祷这不是，他们的软件是脆弱的！
这是Red Hat分发等少数可信方已加强在改变败局。红帽企业Linux管理员提供：
?1个值得信赖的存储库，他们可以从下载软件
?安全更新修复漏洞
?1个安全响应小组发现和管理漏洞
?1个工程师团队来管理/保护包和安全增强工作
?通用标准认证检查操作系统的安全性
仅运行可信方容器。我相信你应当继续从谁你已从过去得到它1样的人得到您的代码/包。如果代码不是来自内部或受信任的第3方，不靠容器技术来保护你的主机。

那末，问题是甚么？为何容器中不包括那些内容？

最大的问题就是1切在Linux中没有命名空间。目前，Docker使用5个命名空间来改变系统的流程视图：进程，网络，安装，主机名，同享内存。
虽然这些给用户的安全性的某种程度它绝不是全面，像KVM。在KVM环境中虚拟机进程不跟主机内核直接。他们没有任何访问内核的文件系统，如/ sys和/sys/fs, /proc/*。
装备节点用来交换内核的虚拟机不是主机。因此，为了有1个特权提升了虚拟机，该进程必须subvirt(1个基于虚拟机的后门)虚拟机的内核，发现在管理程序中的漏洞，通过SELinux的控制突破（sVirt），这是非常紧的在虚拟机上，最后攻击主机内核。
当你在1个容器中运行你已读懂了你在哪里聊到主机内核。
主要的内核子系统都没有命名空间，如：
?SELinux的
?cgroup中
?在/ sys下的文件系统
?/proc/sys, /proc/sysrq-trigger, /proc/irq, /proc/bus
装备没有命名空间：
?/ dev/ MEM
?/ dev/ SD*文件系统装备
?内核模块
如果你能沟通或攻击的其中之1作为特权的进程中，你可以具有自己的系统。

docker toolbox 安装哪些坑坑洼洼

1、报错 No default Boot2Docker ISO found locally

复制安装目录下的boot2docker.iso到C:UsersAdministrator.Dockermachinecache到这个目录下

mac下docker安装目录在哪

Dockerfile 中 ADD 和 COPY 命令不能使用绝对路径，只能使用相对路径。
　　这点在官方文档中说的比较清楚 如果不是非要把文件 build 到 image里，可以通过 run container 的时候通过 -v 参数将 host 文件或目录加载/共享到 container 里。

docker容器与虚拟机有什么区别

Docker 是一个开源的应用容器引擎，让开发者可以打包他们的应用以及依赖包到一个可移植的容器中，然后发布到任何流行的 Linux 机器上，也可以实现虚拟化。容器是完全使用沙箱机制，相互之间不会有任何接口（类似 iPhone 的 app）。几乎没有性能开销,可以很容易地在机器和数据中心中运行。最重要的是,他们不依赖于任何语言、框架包括系统。
在docker的网站上提到了docker的典型场景：
Automating the packaging and deployment of applications
Creation of lightweight, private PAAS environments
Automated testing and continuous integration/deployment
Deploying and scaling web apps, databases and backend services
由于其基于LXC的轻量级虚拟化的特点，docker相比KVM之类最明显的特点就是启动快，资源占用小。因此对于构建隔离的标准化的运行环境，轻量级的PaaS(如dokku), 构建自动化测试和持续集成环境，以及一切可以横向扩展的应用(尤其是需要快速启停来应对峰谷的web应用)。
构建标准化的运行环境，现有的方案大多是在一个baseOS上运行一套puppet/chef，或者一个image文件，其缺点是前者需要base OS许多前提条件，后者几乎不可以修改(因为copy on write 的文件格式在运行时rootfs是read only的)。并且后者文件体积大，环境管理和版本控制本身也是一个问题。
PaaS环境是不言而喻的，其设计之初和dotcloud的案例都是将其作为PaaS产品的环境基础
因为其标准化构建方法(buildfile)和良好的REST API，自动测试和持续集成/部署能够很好的集成进来
因为LXC轻量级的特点，其启动快，而且docker能够只加载每个container变化的部分，这样资源占用小，能够在单机环境下与KVM之类的虚拟化方案相比能够更加快速和占用更少资源
虚拟化是一个广义的术语，在计算机方面通常是指计算元件在虚拟的基础上而不是真实的基础上运行。
虚拟化，原本是指资源的抽象化，也就是单一物理资源的多个逻辑表示，或者多个物理资源的单一逻辑表示。具体到服务器虚拟化，就是多个物理资源的单一逻辑表示。
虚拟化技术可以扩大硬件的容量，简化软件的重新配置过程。CPU的虚拟化技术可以单CPU模拟多CPU并行，允许一个平台同时运行多个操作系统，并且应用程序都可以在相互独立的空间内运行而互不影响，从而显著提高计算机的工作效率。
在实际的生产环境中，虚拟化技术主要用来解决高性能的物理硬件产能过剩和老的旧的硬件产能过低的重组重用，透明化底层物理硬件，从而最大化的利用物理硬件。