Docker只读Rootfs：浅析500行代码打造安全容器

2023-07-17 00:04:39

揭秘只读 Rootfs 的奥秘：为容器安全保驾护航

简介

容器技术风靡全球，带来了诸多便利，但同时也不可避免地带来了安全隐患。为了应对这一挑战，Docker 引入了只读 Rootfs 功能，为容器的安全提供了强有力的保障。本文将带你深入了解只读 Rootfs 的实现原理，并提供实践指南，让你能够构建自己的只读 Rootfs 容器，为你的应用程序和系统保驾护航。

什么是只读 Rootfs

Rootfs 是容器的文件系统，通常情况下是可读写的。只读 Rootfs 顾名思义，就是将 Rootfs 设置为只读状态，这意味着容器内的所有文件和目录都将被锁定，任何尝试写入操作都会被拒绝。这种机制大大降低了恶意软件或非授权程序的入侵风险，有效提升了容器的安全性。

实现原理

Docker 是通过创建一个覆盖文件系统来实现只读 Rootfs 的。覆盖文件系统本质上是一个联合文件系统，它允许你在只读文件系统（即 Rootfs）上创建一个可写的上层文件系统。这样一来，容器内的所有写入操作都会被重定向到上层文件系统，而 Rootfs 则始终保持只读状态。

实践指南

构建 Docker 镜像

要构建一个只读 Rootfs 的 Docker 镜像，需要在 Dockerfile 中添加以下指令：

FROM ubuntu-base-16.04.6-base-amd64
RUN set -eux; \
    apt-get update; \
    apt-get install -y overlayroot; \
    mkdir -p /mnt/overlay; \
    mount -t overlay overlay -o lowerdir=/rootfs,upperdir=/mnt/overlay,workdir=/mnt/work \
        /mnt/overlay

运行只读 Rootfs 容器

要运行一个只读 Rootfs 容器，可以执行以下命令：

docker run -it --rm --name readonly-rootfs readonly-rootfs

验证只读 Rootfs

在容器内部，尝试创建或修改文件，你会发现任何写入操作都会失败，这表明只读 Rootfs 已经生效。

修改 Docker 服务配置

除了 Dockerfile 之外，还需要修改 /etc/systemd/system/docker.service 文件，添加以下行：

ExecStartPost=/bin/mount -t overlay overlay -o lowerdir=/rootfs,upperdir=/var/lib/docker/overlay2,workdir=/var/lib/docker/overlay2/work \
    /var/lib/docker/overlay2

这行代码的作用是将覆盖文件系统挂载到 Docker 数据目录，确保所有容器的数据都存储在上层文件系统中，而 Rootfs 依然保持只读状态。

只读 Rootfs 的优势

增强安全性： 只读 Rootfs 有效防止了恶意软件或非授权程序的入侵，提高了容器的安全性。
简化管理： 只读 Rootfs 简化了容器的更新和维护，因为无需担心破坏 Rootfs。
提高性能： 只读 Rootfs 可以减少写入操作，从而提高容器的性能。

常见问题解答

只读 Rootfs 是否适用于所有容器？
- 是的，只读 Rootfs 适用于大多数容器，但对于需要写入 Rootfs 的容器（如数据库）可能不适用。
只读 Rootfs 是否会影响容器的性能？
- 一般情况下，只读 Rootfs 会略微提高容器的性能，因为减少了写入操作。
如何修复因只读 Rootfs 导致的权限问题？
- 在容器内部使用 chattr -i 命令取消文件的只读属性。
如何从只读 Rootfs 中删除文件？
- 在只读 Rootfs 中无法直接删除文件，需要将文件移到上层文件系统后再删除。
如何更新只读 Rootfs 中的软件包？
- 更新软件包时，将新版本的软件包安装到上层文件系统中，然后使用 overlay2-apply 命令将更改应用到 Rootfs。