使用限制

  • isulad默认Capabilities（白名单）配置如下，普通容器进程将默认携带：

    1. "CAP_CHOWN",
    2. "CAP_DAC_OVERRIDE",
    3. "CAP_FSETID",
    4. "CAP_FOWNER",
    5. "CAP_MKNOD",
    6. "CAP_NET_RAW",
    7. "CAP_SETGID",
    8. "CAP_SETUID",
    9. "CAP_SETFCAP",
    10. "CAP_SETPCAP",
    11. "CAP_NET_BIND_SERVICE",
    12. "CAP_SYS_CHROOT",
    13. "CAP_KILL",
    14. "CAP_AUDIT_WRITE"

  • 默认的权能配置，包含了CAP_SETUID和CAP_FSETID，如host和容器共享目录，容器可对共享目录的二进制文件进行文件权限设置，host上的普通用户可能使用该特性进行提权攻击。CAP_AUDIT_WRITE，容器可以对host写入，存在一定的风险，如果使用场景不需要，推荐在启动容器的时候使用—cap-drop将其删除。

  • 增加Capabilities意味着容器进程具备更大的能力，同时也会开放更多的系统调用接口。