docker容器安全隔离需主动配置五大维度：一、运行时权限最小化，禁用root与特权模式，按需添加capabilities；二、文件系统设为只读，仅对日志等必要路径启用tmpfs或卷挂载；三、网络严格隔离，创建独立业务网络并禁用跨网通信；四、镜像加固，选用可信固定版本基础镜像，多阶段构建并集成trivy扫描；五、资源约束与守护进程防护，限制cpu/内存/pid，并为docker daemon启用tls认证。
Docker 容器安全隔离不是开箱即用的默认行为，而是需要围绕进程、文件系统、网络、用户权限、镜像与运行时五个关键维度主动配置。规范配置的核心目标是：让每个容器只拥有完成自身功能所必需的最小能力，且与其他容器、宿主机之间形成明确边界。
一、运行时权限最小化（防逃逸与提权）
容器内进程不应以 root 身份运行，避免因漏洞导致宿主机被控制：
- 在 Dockerfile 中显式声明非 root 用户：
RUN addgroup -g 1001 -f appgroup && \ adduser -S appuser -u 1001 USER appuser - 启动容器时禁止特权模式：
docker run --rm --privileged=false ... # 必须显式禁用
- 精确控制 Linux Capabilities（不 drop 全部再加，而是按需添加）：
docker run --cap-drop=ALL --cap-add=NET_BIND_SERVICE --cap-add=CHOWN ...
二、文件系统只读 + 可写路径白名单
防止恶意写入或篡改关键路径，同时保留必要日志/临时目录：
- 默认挂载整个根文件系统为只读：
docker run --read-only ...
- 仅对明确需要写的路径启用可写挂载：
# 日志目录用 tmpfs（内存临时文件系统，重启即清空） --tmpfs /app/log:rw,size=64m \ # 或挂载专用卷（提前创建好） -v /host/logs:/app/log:rw
三、网络严格隔离（防横向移动）
默认 bridge 网络允许所有容器互通，生产环境必须打破这一默认信任：
- 创建业务级独立网络（按服务域划分）：
docker network create --driver bridge --subnet 10.20.0.0/16 app-auth-net docker network create --driver bridge --subnet 10.21.0.0/16 app-payment-net
- 启动容器时显式指定网络，不依赖默认 bridge：
docker run --network app-auth-net ...
- 禁用跨网络通信（Docker 20.10+ 默认已关闭 ICC，但仍建议确认）：
// /etc/docker/daemon.json { "icc": false } - 对外暴露端口必须绑定到本地回环（避免直接暴露在公网网卡）：
docker run -p 127.0.0.1:8080:80 ...
四、镜像与启动加固（从源头控风险）
不安全的镜像是整个链条最薄弱的一环：
- 基础镜像必须满足：
- 来源可信（Docker 官方或企业私仓）
- 版本固定（禁用
latest，如nginx:1.25.3-alpine） - 尽量精简（优先
alpine或distroless）
- 构建阶段使用多阶段减少攻击面：
FROM golang:1.21-alpine AS builder FROM alpine:3.18 COPY --from=builder /app/binary /usr/local/bin/app RUN adduser -D -u 1001 appuser USER appuser
- 镜像扫描纳入 CI/CD 流程：
trivy image --severity CRITICAL my-app:1.2.0
五、资源与守护进程级防护（防 DoS 与越权访问）
限制容器资源消耗，并切断 Docker daemon 的高危暴露面：
- 运行时强制资源约束：
docker run \ --memory=512m --memory-swap=512m \ --cpus=0.5 \ --pids-limit=100 \ ...
- Docker daemon 启用 TLS 认证（杜绝未授权 socket 访问）：
// /etc/docker/daemon.json { "tls": true, "tlscacert": "/etc/docker/certs/ca.pem", "tlscert": "/etc/docker/certs/server-cert.pem", "tlskey": "/etc/docker/certs/server-key.pem", "hosts": ["unix:///var/run/docker.sock", "tcp://0.0.0.0:2376"] } - 启动 daemon 时挂载 socket 为只读（若需远程调用）：
dockerd --host unix:///var/run/docker.sock --host tcp://0.0.0.0:2376 --read-only
不复杂但容易忽略
