一、内核和制组
内核冠名儿工夫 Kernel Namespace
Docker容器中非常相似LXC容器，并且它们都存正正在类似的安全功能。当您以“docker run”启动一个容器，后台Docker为容器缔造一组冠名儿工夫和主宰组的遣散。
冠名儿工夫需求隔离的最初也是最简单的形式：一个容器中运行的进程看没有到运行正正在另一个容器中或者许许正正在主机系统中的进程，甚至它们之间更少的反响。
每个容器也都有自己的网络协议栈，这意味着容器没有得到访问另一个容器的套接字或者许接口。当然，如果主机系统是装置因此，容器中可以相互通过各自的网络接口中止交互 就像他们可以与外部的主机中止交互。当您为您的容器中或者许使用链指定公共端口则IP通信准许容器之间。他们可以彼此ping通，发送/吸引UDP数据包，并建立TCP连接，但可以正正在必要时会受到。从一个网络架构来看，给定Docker主机上的所有容器都坐正正在桥接接口。这意味着，他们然而想通过一个正常的以太网交换机连接的道理机器，没有会多，没有会少。
代码是如何童稚需求内核冠名儿工夫和专用网络？内核冠名儿工夫的内核版本2.6.15和2.6.26之间中止了介绍。这意味着，自2008年7月（2.6.26宣布生活，现正正在5年前），冠名儿工夫代码已经执行和审查上有大批的消耗系统。还有更多：设计灵感的冠名儿工夫代码，甚至更老。冠名儿工夫理论上是为了重新实现的，因为它们可以被主流内核内合并这样的方式的OpenVZ的特性。OpenVZ的最初宣布于2005年，由于正正在设计和执行都相同童稚。
主宰组 cgroups
主宰组是Linux的容器的另一次要组成全体。他们执行资源核算和。他们需求了很多非常有用的指标，但他们也有助于确保每个容器获得其恰恰心的内存，CPU，磁盘共享I/O;并且，更次要的是，一个单一的容器没有能用尽这些资源中的一个而使系统瘫痪。
因此，固然它们没有起到防止一个容器访问或者许反响数据和另一个容器的进程的作用，它们是必没有可少的，以抵挡服务的一些。他们是正正在多租户院子，像公公有PaaS尤为次要，以正常运行时间一致（和性能），即使一些运用末尾。
主宰组已经存正在了一段时间，以及：代码正正在2006年已经末尾，并正正在内核2.6.24末尾合并。
二、Docker掩护面
运行容器（和运用次第）与Docker意味着运行Docker掩护进程。此掩护进程长远需要root权限，因此，你应该知晓的一些次要的内幕。
首先，只需受信任的用户应该可以主宰你的Docker掩护进程。这是直接构成一些强大的Docker功能。细致来说，Docker可以让你分享的Docker主体和客体容器之间的目录;它准许你这样做没有容器的访问权限。这意味着，你可以末尾一个容器，过程/host目录将是你的主机上的/目录下;并且容器将能够改变你的主机材料系统没有任何。这听崛起很疯狂？好吧，你要知晓，所有的虚拟化系统准许材料系统资源共享的行踪方式相同。没有什么能你从一个虚拟机共享您的根材料系统（甚至是你的root块设备）。
这存正正在很强的安全性含义：类似，如果从通过API的Web服务器来需求容器中工具Docker，你应该比平常使用参数检查多加没有慎，以确保恶意用户无法通过精雕细琢的参数引起Docker缔造任意容器。
出于这个原因，所述的REST API端点（所使用的DockerCLI与Docker掩护次第中止通信）中Docker0.5.2改变，现正正在采用的是UNIX套接字代替联结正正在127.0.0.1 TCP套接字（后者是容易跨站点文学，如果你碰巧直接正正在当地计算机上运行Docker，一个VM之外）。然后，您可以使用传统的UNIX权限检查访问主宰套接字。
您也可以通过正正在HTTP REST API，如果你明确决定等。但是，如果你这样做，意识到上述的安全含义，你应该确保它会到达只能从一个取信任的网络或者许VPN;或者许受的如与安全通道和客户端的SSL证书。你也可以他们HTTPS和证书。
正正在Linux的冠名儿工夫中的最新改进将很快准许没有root权限运行全功能的容器中，这要归功于新的用户工夫。这是覆盖正正在这里详细。此外，这将解决由共享主机和客户之间的材料系统的成就，因为用户冠名儿工夫准许容器（包括root用户）内的用户被照射到正正在主机系统的其他用户。
因此，最终目标是Docker要实现两个额外的安全性改进：
最后，如果正正在服务器上运行Docker，以正正在服务器上运行专门Docker，并且通过Docker主宰容器中内移动的所有其他服务。当然，这是好的，让您最喜欢的管理工具（可以至少SSH服务器），以及现全体监测/历程（类似，NRPE，collectd等）。
三、内核安全特性和何与容器中互动
Linux内核子能力 Capabilities
默认情况下，Docker末尾容器存正正在非常有限的功能集。这意味着什么？
功能打开二进制“root/非root”二分法成细粒度的访问主宰系统。进程（如Web服务器），仅仅需要绑定低于1024的端口上没有以root身份运行：他们可以被寄予net_bind_service能力来代替。况且还有很多其他功能，多少乎所有的地方，正常都需要root权限的细致领域。
这意味着许多为docker的安全;让我们来看看为什么！
畸形的服务器（裸机或者许虚拟机）都需要运行一堆清流线作为root。这些正常包括SSH，cron，syslogd;硬件管理工具（如加载模块），网络配置工具（如处理DHCP，WPA或者许VPN）的，等等。容器常没有同的，因为多少乎所有的这些任务由容器四处的基础设施中止处理：
这意味着，即使降服者设法升级到root的容器内，这将常困难做严重掩护，或者许升级到主机。
这没有会反响常规的网络运用;但恶意的用户会发现，兵工厂正正在他们的处置大幅下降！默认情况下，Docker滴除了那些需要的，白名单，而没有是的方式全部功能。你可以看到正正在Linux中需求联机帮助功能的完整列表。
当然，你可以随时启用额外的功能，如果你真的需要它们（举例来说，如果你想使用FUSE为基础的材料系统），但默认情况下，Docker容器使用默认的核心能力，只需白名单。
其他内核安全特性
Capabilities 能力是现代Linux内核需求了许多安全特性之一。于是，也可以使用现全体，公知的系统，如TOMOYO，AppArmor，SELinux，GRSEC等使用Docker。
而Docker长远只准许功能，它没有困扰其它系统。这意味着，有许多没有同的方式来加固Docker主机。下面是一些案件。
您可以运行GRSEC和PAX内核。这将增加很多安全检查，没有管是正正在编译时和运行时;它也将打败很多漏洞，这要归功于像地方随机化技艺。它没有需要Docker定然的配置中，由于这些安全功能适用全系统，的容器中。
如果你的发行版自带的Docker容器安全模型模板，你可以使用它们的开箱即用。举例来说，推出一个与AppArmor使命和Red Hat自带SELinux策略Docker的模板。这些模板需求了一个额外的安全网（即使它大大重叠使用能力）。
就像有许多第三方工具来增强Docker容器如尤其的网络拓扑结构或者许共享材料系统，你可以期望看到的工具来强化现全体Docker容器，而没有会反响Docker的核心。
结论
Docker容器，默认情况下，相同安全的;特别是如果你把你的运行进程容器非用户内部的携带（即非root）。
您可以通过启用AppArmor中，SELinux，GRSEC，或者许许你最喜欢的加固解决方案中平添额外的安全层。
最后但并非最没有次要的，如果你看到正正在其他容器化系统，有趣的安全功能，您将能够实现它们，以及使用Docker，因为一切没有管如何都是由内核需求。
译自Docker文档