要实现 docker 容器数据防篡改与可审计，须组合只读挂载、worm 存储、日志驱动签名及 cgroup 锚定四项机制：强制审计数据写入独立只追加卷，启用带 kms 签名的日志驱动并同步至 worm 存储，通过 cgroup 绑定 i/o 行为归因，禁用高风险存储驱动并限制容器写权限。
要让 Docker 容器数据真正防篡改、可审计，不能只靠日志或应用层控制，必须从存储底层切入——核心是把数据写入行为本身变成“可签名、不可覆盖、带时序锚点”的可信操作。这需要组合使用只读挂载、WORM 存储、日志驱动签名与 cgroup 锚定四项机制。
强制只读挂载 + 审计卷隔离
容器运行时产生的关键审计数据（如操作日志、进程快照、网络连接元数据）必须写入独立、受控的存储路径，且该路径在容器内仅允许追加，禁止修改或删除。
- 启动容器时显式挂载审计专用卷，并设为只读（对容器）或只追加（对宿主机）：
docker run -v /var/log/audit:/app/audit:ro -v /var/lib/docker-audit:/audit-data:rw,z nginx - 宿主机侧将
/var/lib/docker-audit挂载为 XFS 文件系统并启用project quota和immutable属性，防止 root 用户误删：chattr +i /var/lib/docker-audit/.signature-root - 所有容器日志统一由
json-file驱动写入该目录，配合max-size/max-file轮转，但轮转文件命名需嵌入哈希前缀（如log-<sha256>.json</sha256>），便于后续校验绑定。
启用带签名的日志驱动与 WORM 同步
默认 json-file 日志可被 truncate 或 rm 清除，必须引入密码学完整性保障。
- 在
/etc/docker/daemon.json中启用结构化日志并挂载签名上下文：{"log-driver":"json-file","log-opts":{"max-size":"10m","max-file":"5","labels":"audit,signed"}} - 部署轻量级守护进程（如
logsigner），监听/var/lib/docker-audit下新生成的日志文件，对每条 JSON 日志计算 SHA-256 并用 KMS 托管私钥签名，签名结果写入同名.sig文件； - 签名后自动触发同步至远程 WORM 对象存储（如 AWS S3 Object Lock、MinIO Retention），设置合规保留期（如 180 天），期间任何 DELETE/PUT/OVERWRITE 请求均被拒绝。
绑定 cgroup 路径实现存储行为归因
仅看日志内容无法确认某次写入是否来自特定容器——必须将存储 I/O 事件与容器身份强绑定。
- 启动容器时强制指定唯一 cgroup 路径标签：
docker run --cgroup-parent="audit-container-$(uuidgen)" -v /audit-data:/data nginx - 在宿主机启用
auditd监控该 cgroup 下所有 write/writev 系统调用：-w /audit-data -p wa -k audit-write -F cgroup=audit-container-.* - 通过
ausearch -k audit-write输出中的cgroup字段，即可 100% 关联到具体容器 ID、镜像哈希及启动命令，形成“谁在何时、以何种上下文写入了什么数据”的完整证据链。
禁用非必要存储驱动与覆盖能力
某些存储驱动（如 aufs、devicemapper）存在元数据覆盖风险，且不支持细粒度 I/O 审计；同时需关闭容器自身覆盖宿主机文件的能力。
- 在 daemon.json 中明确禁用高风险驱动：
{"storage-driver":"overlay2","storage-opts":["overlay2.override_kernel_check=true"]} - 禁止容器挂载主机敏感路径（如
/etc、/usr/bin），并在运行时添加--read-only标志限制根文件系统写入； - 对确需持久化的数据卷，使用
tmpfs或加密块设备（LUKS）替代普通 bind mount，确保数据落盘即加密、解密需授权，避免未授权进程直接读取原始文件。
