怎么在Docker中配置容器的Device限制访问硬件-Docker-PHP中文网

docker容器默认无权访问宿主机任何设备节点，必须通过--device显式挂载并设权限；辅以--cap-drop、--security-opt和cgroups device控制器实现细粒度隔离。

怎么在docker中配置容器的device限制访问硬件

在 Docker 中限制容器对主机硬件设备（如 GPU、USB 设备、声卡、磁盘等）的访问，主要通过 --device 参数显式授权，配合 --cap-drop、--security-opt 和 cgroups v1/v2 的 device controller 进行细粒度控制。默认情况下，容器**无权访问任何宿主机设备节点**（/dev/ 下），必须明确挂载才可使用。

用 --device 显式挂载并限制权限

这是最常用且推荐的方式：只挂载容器真正需要的设备，并可指定读写权限。

基础语法：docker run --device <host-path>:<container-path>[:<mode>]</mode></container-path></host-path>
:r 表示只读（如 --device /dev/sda:/dev/sda:r），:w 表示只写，:rw（默认）表示读写
不加 :r/:w 时，容器内设备节点拥有与宿主机相同的权限位，但实际能否操作还取决于容器进程的 capability 和 cgroups 限制
例如，仅允许容器读取 USB 摄像头：docker run --device /dev/video0:/dev/video0:r ubuntu:22.04 ls -l /dev/video0

用 --cap-drop 和 --security-opt 阻断设备相关能力

即使挂载了设备，也可通过移除 Linux capability 或启用安全策略进一步限制行为。

--cap-drop=SYS_ADMIN：禁用容器内执行 mknod、mount、修改设备权限等高危操作，防止其自行创建或篡改设备节点
--security-opt=no-new-privileges:true：阻止容器内进程通过 execve 获取额外权限（如 setuid 二进制），增强设备访问隔离性
--cap-drop=ALL --cap-add=CHOWN,DAC_OVERRIDE 等组合可用于最小化特权，但需谨慎评估应用实际需求

用 cgroups device 控制器做白名单级过滤（高级）

适用于 Docker daemon 启用了 cgroups v1 或 v2 且需要更底层控制的场景（如多租户环境）。Docker 本身不直接暴露 device cgroup 配置，但可通过以下方式生效：

在 daemon.json 中启用 "default-runtime": "runc" 并确保系统支持 device cgroup（检查 /sys/fs/cgroup/devices/ 是否存在）
启动容器时传入 --cgroup-parent 指向预设的 device 白名单 cgroup（需提前用 cgcreate + cgset 配置）
例如，只允许读取 /dev/null 和 /dev/zero，禁止访问所有块设备：cgset -r devices.allow="c 1:3 rwm" mydevcg（c 1:3 是 /dev/null），再运行 docker run --cgroup-parent=mydevcg ...
注意：Docker CLI 不提供原生 --device-cgroup-rule 参数；该功能更常见于直接使用 runc 或 Kubernetes DevicePlugin 场景

避免常见误区

一些看似“限制”实则无效或危险的做法需避开：

不要挂载整个 /dev（如 -v /dev:/dev）：这会暴露全部设备节点，极大提升攻击面，且绕过所有 device cgroup 控制
不要依赖镜像内 /dev 内容：容器启动时 /dev 由 init 进程（如 devtmpfs）动态生成，与镜像无关；设备访问权限完全取决于挂载和 cgroup 配置
GPU/USB 等特殊设备需额外驱动支持：仅挂载设备节点不够，还需宿主机安装对应驱动（如 nvidia-driver）、容器内有兼容库（如 nvidia-container-toolkit），否则设备不可用