本文档基于以下 docker run 命令，逐项解析参数含义，并深入探讨容器安全最佳实践。

docker run -d \
  --name rockydev \
  --cap-drop ALL \
  --cap-add CAP_NET_BIND_SERVICE \
  --cap-add CAP_SETUID \
  --cap-add CAP_SETGID \
  --cap-add CAP_CHOWN \
  --security-opt=no-new-privileges:true \
  --hostname rockydev \
  -p 20022:22 \
  --restart=always \
  swr.cn-north-4.myhuaweicloud.com/ddn-k8s/docker.io/rockylinux/rockylinux:9.7 \
  sleep infinity

1. 命令参数详解

2. 容器安全分析

2.1 已实施的安全措施（⭐ 推荐）

• 移除 --privileged
  未使用特权模式，避免了容器获得宿主机 root 权限的风险。

• 最小 Capabilities 集合
  只添加了 SSH 服务所需的 4 项能力，其余全部丢弃。与默认的 14 项相比，攻击面大幅缩小。

• 禁止新权限（no-new-privileges:true）
  这是防御容器逃逸的强力开关。即使内核存在漏洞，攻击者也难以通过 setuid 等手段提升权限。

• 非交互式启动
  使用 sleep infinity 作为主进程，无 shell 监听，减少被入侵后的直接交互机会。

2.2 仍存在的风险与改进建议

3. 安全加固建议（生产环境）

若要将此容器用于开发或测试环境，建议实施以下额外配置：

3.1 启用 User Namespace 重映射

将容器内的 root 映射为宿主机的非特权用户，即使容器被攻破，攻击者获得的也只是普通用户权限。
修改 Docker 守护进程配置 /etc/docker/daemon.json：

{
  "userns-remap": "default"
}

重启 Docker 后生效。

3.2 使用只读根文件系统

--read-only \
--tmpfs /tmp:rw,noexec,nosuid \
--tmpfs /var/log:rw,noexec,nosuid \
--tmpfs /run:rw,noexec,nosuid

3.3 限制容器资源

防止 fork 炸弹或资源耗尽：

--memory=512m \
--cpus=0.5 \
--pids-limit=100

3.4 应用自定义 Seccomp/AppArmor 策略

Seccomp：默认策略已较好，可进一步收紧系统调用。

AppArmor：为容器编写专属配置文件，限制文件访问和网络操作。

3.5 定期扫描镜像漏洞

使用 trivy 或 docker scan 扫描基础镜像：

trivy image swr.cn-north-4.myhuaweicloud.com/ddn-k8s/docker.io/rockylinux/rockylinux:9.7

4. 验证与测试

4.1 验证 Capabilities 是否生效

进入容器并检查：

docker exec -it rockydev bash
# 安装工具
dnf install -y libcap
capsh --print
输出中应只包含已添加的 CAP_NET_BIND_SERVICE, CAP_SETUID, CAP_SETGID, CAP_CHOWN。

4.2 测试权限隔离

尝试在容器内加载内核模块（应该失败）：

insmod /some/module.ko
# 错误：Operation not permitted

4.3 测试 SSH 登录（需预先安装 openssh-server）

# 在宿主机执行
ssh -p 20022 root@localhost
如果配置了密钥登录且不允许 root，登录会被拒绝。

5. 总结

当前命令已经遵循了“默认安全”原则，适用于大多数开发或轻量级演示场景。相比直接使用 --privileged，安全性提升了数个数量级。但在面向公网或运行不可信代码时，仍需结合 User Namespace、只读文件系统、资源限制及定期更新等手段，构建纵深防御体系。

附录：常用安全相关 Docker 参数速查