通过SECCOMP过滤在容器中的风险操作

查看podman当前有关SECCOMP的配置

$ podman info | grep seccompseccompEnabled: truelibseccomp: 2.5.1

使用任意用户运行ubi镜像。

$ podman run -it registry.access.redhat.com/ubi7/ubi

在容器中执行命令，确认可以修改“/etc/hosts”属性，然后退出容器。

[root@f785305238e7 /]# chmod 777 /etc/hosts
[root@f785305238e7 /]# ls -al /etc/hosts
-rwxrwxrwx. 1 root root 199 Nov 12 07:12 /etc/hosts
[root@f785305238e7 /]# exit
exit

创建SECCOMP的策略文件，其中定义了缺省操作都是被允许的，但是通过“syscalls”定义过滤，"SCMP_ACT_ERRNO"阻止系统调用“fchmodat”。

$ cat << EOF > chmod.json
{"defaultAction": "SCMP_ACT_ALLOW","syscalls": [{"name": "fchmodat","action": "SCMP_ACT_ERRNO"}]
}
EOF

运行ubi镜像，这次使用SECCOMP的策略文件。

$ podman run -it --security-opt seccomp=./chmod.json registry.access.redhat.com/ubi7/ubi

确认这次无法修改“/etc/hosts”属性，即便是root用户也不能修改。

[root@4703a74ad176 /]# chmod 777 /etc/hosts
chmod: changing permissions of '/etc/hosts': Operation not permitted

参考

https://github.com/docker/labs/blob/master/security/seccomp/README.md

容器安全 - 通过SECCOMP过滤在容器中的风险操作相关推荐

解决无法注入spring容器，获取不到spring容器中的bean问题
解决无法注入spring容器,获取不到spring容器中的bean问题前两天工作中遇到一个问题,收到的需求是根据logbak日志实现通过过滤错误日志发送预警邮件到邮箱,logback自定义实现类如下 ...
容器编排技术 -- 使用Minikube在Kubernetes中运行应用
容器编排技术 -- 使用Minikube在Kubernetes中运行应用 1 目标 2 准备工作 3 创建Minikube集群 4 创建Node.js应用程序 5 创建Docker容器镜像 6 创建D ...
第十三篇：multimap容器和multiset容器中的find操作
前言 multimap容器是map容器的" 增强版 ",它允许一个键对应多个值.对于map容器来说,find函数将会返回第一个键值匹配元素所在处的迭代器.那么对于multimap容 ...
sql docker容器_了解SQL Server Docker容器中的备份和还原操作
sql docker容器 In this 17th article of the series (see the full article index at bottom), we will disc ...
docker 容器 exited_Docker实战006：docker容器使用详解
Docker容器也是docker的核心成员,是docker镜像的一个运行实例.一个镜像可以创建多个容器,多个容器也可以在同一台机器上运行并与其他容器共享操作系统内核同时将应用程序与系统其它周围环境隔离 ...
docker容器网络 - 同一个host下的容器间通信
2019独角兽企业重金招聘Python工程师标准>>> 对于复杂的应用,不可避免需要多个服务部署在多个容器中,并且服务间存在相互间通信的情况.比如服务A需要连接mysql的容器.本文 ...
Spring核心技术之IOC容器（一）：IOC容器与Bean简介
最近开始研究Spring框架,今天学习Spring的核心内容IOC 与 Bean 1. Spring IOC 与 Bean 简介 Inversion of Control (IoC)即控制反转,也叫 ...
2021 阿里云容器服务年度盘点：企业级容器应用变化和技术趋势观察
作者:溪洋在云原生浪潮的推动下,容器和 Kubernetes 技术和应用发展迅猛.最近,云原生计算基金会 CNCF 发布了与 SlashData 联手撰写的最新版<云原生开发现状报告> ...
InfoQ宣布成立CNUT容器技术俱乐部欲连接中国容器社区
2015年8月28日,首届CNUTCon全球容器技术大会在北京举行.在大会上,极客邦科技与InfoQ中国创始人兼CEO霍泰稳宣布,InfoQ联合国内一线IT技术公司共同成立CNUT容器技术俱乐部,连接 ...

容器安全 - 通过SECCOMP过滤在容器中的风险操作

文章目录

通过SECCOMP过滤在容器中的风险操作

参考

容器安全 - 通过SECCOMP过滤在容器中的风险操作相关推荐

最新文章

热门文章