Docker安全

和本地共享资源，会有安全性问题

1. Cgroups

对资源的上限进行控制

/sys/devices/system

1.1 cpu资源限制

# 进行cpu控制，只使用20%的资源
docker run -it --rm --cpu-period 100000 --cpu-quota 20000 ubuntu

# 测试cpu使用
dd if=/dev/zero of=/dev/null &

1.2 cpu优先级控制

# 为该容器分配100的优先级，最高优先级是1024
docker run -it --rm --cpu-shares 100 ubuntu
# 消耗CPU资源
dd if=/dev/zero of=/dev/null &

# 为该容器分配默认1024的优先级
docker run -it --rm ubuntu
dd if=/dev/zero of=/dev/null &

# 实验测试环节，为了保证只有一个CPU的情况下，产生竞争关系。
cd /sys/devices/system/cpu/cpu1/
echo 0 > online

1.3 memory资源限制

# 为该容器分配200M物理内存+200Mswap
docker run -d --name demo --memory 200M --memory-swap=200M nginx

cd /sys/fs/cgroup/memory/
mkdir x1
# 写入实际物理内存限制，这个根据实际内存
cd x1/
echo 209715200 > memory.limit_in_bytes

# 安装工具，方便使用cgexec
yum install -y libcgroup-tools.x86_64
cd /dev/shm/
ls
free -m
# 使用300M
cgexec -g memory:x1 dd if=/dev/zero of=bigfile bs=1M count=300
free -m

1.4 磁盘IO资源限制

# 对磁盘的写速度限制为30M
docker run -it --rm --device-write-bps /dev/sda:30MB ubuntudd if=/dev/zero of=bigfile bs=1M count=100 oflag=direct

2. lxcfs隔离

之前对资源的控制，没有隔离效果。

 yum install -y lxcfs-2.0.5-3.el7.centos.x86_64.rpmlxcfs /var/lib/lxcfs/ &

docker run  -it -m 256m -v /var/lib/lxcfs/proc/cpuinfo:/proc/cpuinfo:rw -v /var/lib/lxcfs/proc/diskstats:/proc/diskstats:rw -v /var/lib/lxcfs/proc/meminfo:/proc/meminfo:rw -v /var/lib/lxcfs/proc/stat:/proc/stat:rw  -v /var/lib/lxcfs/proc/swaps:/proc/swaps:rw -v /var/lib/lxcfs/proc/uptime:/proc/uptime:rw ubuntu

3. 容器特权

# 全权限开启
# docker run -it --rm --privileged busybox

# 开启部分权限
docker run -it --rm --cap-add=NET_ADMIN busybox