Docker 的 Seccomp 安全性設定檔

安全運算模式（seccomp）是一種 Linux 核心功能。您可以使用它來限制容器內可執行的動作。seccomp() 系統呼叫會對呼叫進程的 seccomp 狀態進行操作。您可以使用此功能來限制應用程式的存取權限。

此功能僅在 Docker 建置時包含 seccomp 且核心已啟用 CONFIG_SECCOMP 時才可用。若要檢查您的核心是否支援 seccomp：

$ grep CONFIG_SECCOMP= /boot/config-$(uname -r)
CONFIG_SECCOMP=y

為容器傳遞設定檔

預設的 seccomp 設定檔為執行容器提供了合理的預設值，並禁用了 300 多個系統呼叫中的約 44 個。它在提供廣泛應用程式相容性的同時，具有中等程度的保護能力。Docker 的預設設定檔可以在這裡找到。

實際上，該設定檔是一個允許清單，預設會拒絕所有系統呼叫，隨後再開放特定的系統呼叫。其運作方式是將 defaultAction 定義為 SCMP_ACT_ERRNO，並僅針對特定系統呼叫覆寫該動作。SCMP_ACT_ERRNO 的效果是產生一個「拒絕存取」(Permission Denied) 錯誤。接著，設定檔定義了一份完全允許的系統呼叫清單，因為它們的 action 被覆寫為 SCMP_ACT_ALLOW。最後，針對某些個別系統呼叫（如 personality 等）設有特定規則，以允許在帶有特定參數的情況下執行這些變體呼叫。

seccomp 對於以最小權限執行 Docker 容器至關重要。不建議更改預設的 seccomp 設定檔。

當您執行容器時，除非您使用 --security-opt 選項覆寫它，否則它會使用預設設定檔。例如，以下明確指定了一個策略：

$ docker run --rm \
             -it \
             --security-opt seccomp=/path/to/seccomp/profile.json \
             hello-world

預設設定檔封鎖的重要系統呼叫

Docker 的預設 seccomp 設定檔是一個指定允許呼叫的清單。下表列出了因未包含在允許清單中而實際上被封鎖的重要（但非全部）系統呼叫。該表包含了每個系統呼叫被封鎖而非加入允許清單的原因。

在不安裝預設 seccomp 設定檔的情況下執行

您可以傳遞 unconfined 來執行不使用預設 seccomp 設定檔的容器。

$ docker run --rm -it --security-opt seccomp=unconfined debian:latest \
    unshare --map-root-user --user sh -c whoami