Create 容器libseccomp限制操作.md

Author: yzewei

posts/容器libseccomp限制操作.md

@@ -0,0 +1,182 @@
+# 容器安全特性文档
+
+本文档介绍了 Docker 容器的三类核心安全特性：**seccomp、capabilities、SELinux**，包括场景说明、使用限制和配置指导。
+
+---
+
+## 1. seccomp 安全配置
+
+### 1.1 场景说明
+
+`seccomp`（secure computing mode）是 Linux 内核自 2.6.23 版本引入的一种简洁的 sandboxing 机制。
+在一些特定场景下，用户希望在容器中执行一些“特权”操作，但又不希望启动特权容器，这时可以通过精细化控制系统调用权限来实现。
+
+**示例场景**：
+
+* 容器挂载宿主机某目录，该目录包含普通用户无法执行的二进制文件。
+* 在容器中对二进制文件设置 `chmod 4777` 加入 SUID 标志位，使得容器内运行该二进制时可以提权。
+* 为防止提权风险，可通过 `seccomp` 限制相关系统调用，如 `chmod`、`fchmod`、`fchmodat`。
+
+---
+
+### 1.2 使用限制
+
+* `seccomp` 会对性能有一定影响，应评估必要性后启用。
+* 仅对特定系统调用生效，对容器内逻辑进行精细化保护。
+
+---
+
+### 1.3 使用指导
+
+Docker 支持通过 `--security-opt` 引入 seccomp 配置文件：
+
+```bash
+docker run -it --rm --security-opt seccomp=/path/to/seccomp/profile.json busybox
+```
+
+说明：
+
+* `/path/to/seccomp/profile.json` 必须为绝对路径。
+* 默认配置文件位于 `/etc/docker/seccomp.json`。
+* 设置 `--security-opt seccomp=unconfined` 时，不过滤系统调用。
+
+#### 获取默认 seccomp 配置：
+
+```bash
+cat /etc/docker/seccomp.json | python3 -m json.tool > profile.json
+```
+
+可在此基础上定制系统调用过滤规则。
+
+#### 自定义 seccomp 配置示例：
+
+```json
+{
+  "defaultAction": "SCMP_ACT_ALLOW",
+  "syscalls": [
+    {
+      "name": "chmod",
+      "action": "SCMP_ACT_ERRNO",
+      "args": null
+    }
+  ]
+}
+```
+
+说明：
+
+* `defaultAction`：未在 `syscalls` 中明确指定的系统调用默认行为。
+* `action` 可选值：
+  
+  * `"SCMP_ACT_ALLOW"`：允许调用
+  * `"SCMP_ACT_ERRNO"`：禁止调用并返回错误
+* `args` 可用于对系统调用参数进行精细控制。
+
+---
+
+## 2. capabilities 安全配置
+
+### 2.1 场景说明
+
+Linux 内核自 2.2 版本引入 **capabilities**，将 root 权限拆分为独立能力，允许以更小粒度授予容器进程权限，避免不必要的 root 权限。
+
+**示例场景**：
+
+* 容器挂载宿主机目录时默认包含 `CAP_SETUID`、`CAP_FSETID`，可能被用于提权。
+* 如果不需要写入宿主机审计日志，可移除 `CAP_AUDIT_WRITE` 以降低风险。
+
+---
+
+### 2.2 使用限制
+
+* 增加 capabilities 会扩大容器权限和暴露更多系统调用接口。
+* 默认容器 capabilities：
+  
+  ```
+  CAP_CHOWN, CAP_DAC_OVERRIDE, CAP_FSETID, CAP_FOWNER,
+  CAP_MKNOD, CAP_NET_RAW, CAP_SETGID, CAP_SETUID,
+  CAP_SETFCAP, CAP_SETPCAP, CAP_NET_BIND_SERVICE,
+  CAP_SYS_CHROOT, CAP_KILL, CAP_AUDIT_WRITE
+  ```
+
+---
+
+### 2.3 使用指导
+
+Docker 支持通过 `--cap-add` / `--cap-drop` 增删容器 capabilities：
+
+```bash
+# 增加所有 capabilities，同时去掉 SYS_ADMIN
+docker run -it --rm --cap-add all --cap-drop SYS_ADMIN busybox
+
+# 去掉不必要的默认 capabilities
+docker run -it --rm --cap-drop AUDIT_WRITE busybox
+```
+
+---
+
+## 3. SELinux 安全配置
+
+### 3.1 场景说明
+
+SELinux (Security-Enhanced Linux) 是 Linux 内核安全模块，可通过访问控制策略对容器进程打标签，限制访问宿主机资源，降低提权攻击风险。
+
+* Docker 采用 MCS（Multi-Category Security）策略对容器进程打标签。
+* 容器对宿主机文件系统访问受限，挂载卷需打标签。
+
+---
+
+### 3.2 使用限制
+
+* 确保宿主机启用 SELinux，并已加载容器策略（推荐 container-selinux）。
+* 对性能有一定影响，应根据安全需求评估是否启用。
+* 挂载卷源目录不允许为 `/`, `/usr`, `/etc`, `/tmp`, `/home`, `/run`, `/var`, `/root` 等系统目录。
+
+---
+
+### 3.3 使用指导
+
+#### 启用 SELinux
+
+Docker daemon 需启用 SELinux 支持：
+
+```json
+// /etc/docker/daemon.json
+{
+  "selinux-enabled": true
+}
+```
+
+重启 Docker daemon 后生效。
+
+#### 容器启动配置 SELinux 上下文
+
+```bash
+# 设置安全上下文类型和等级
+docker run -itd --security-opt label=type:container_t --security-opt label=level:s0:c1,c2 centos
+
+# 禁用 SELinux 配置
+docker run -itd --security-opt label=disable centos
+```
+
+#### 为挂载卷打标签
+
+* `:z` 表示共享卷，`:Z` 表示私有卷
+
+```bash
+docker run -itd -v /test:/test:z centos
+ls -Z /test
+# 输出示例：
+# system_u:object_r:container_file_t:s0 file
+```
+
+---
+
+### 参考资料
+
+1. [Docker Security Options](https://docs.docker.com/engine/security/security/)
+2. [Linux capabilities man page](https://man7.org/linux/man-pages/man7/capabilities.7.html)
+3. [SELinux Project](https://selinuxproject.org/page/Main_Page)
+4. [Seccomp Documentation](https://www.kernel.org/doc/html/latest/userspace-api/seccomp_filter.html)
+
+---