Docker安全

最新推荐文章于 2025-07-08 13:45:10 发布
最新推荐文章于 2025-07-08 13:45:10 发布
阅读量1k 收藏 29
点赞数 22
CC 4.0 BY-SA版权
文章标签： docker 安全 eureka
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/studyinstall/article/details/146452089

 Docker介绍

Docker 是一种开源的容器化平台，允许开发者将应用程序及其依赖打包到一个独立的容器中，从而实现快速部署、可移植性和环境一致性。

1. Docker 的核心组件

Docker 主要由以下三个核心组件组成：

2. Docker 的工作原理

Docker 的实现原理主要基于以下 Linux 内核特性：

  • 命名空间（Namespace）：

    • 用于隔离进程间的资源，包括进程、网络、用户等，使得容器内的进程看起来就像在一个独立的环境中运行一样。

  • 控制组（Cgroups）：

    • 用于限制和隔离进程组的资源，如 CPU、内存、磁盘 I/O 等，以确保容器在宿主机上的有限资源中运行。

  • 联合文件系统（Union File System）：

    • 将多个文件系统挂载到同一个目录下，形成一个统一的文件系统。这使得容器可以共享基础镜像的文件系统层，并在其之上添加自己的可写层。

3. Docker 的基本操作

  • 拉取镜像：

    bash复制

    docker pull ubuntu

  • 推送镜像：

    bash复制

    docker push your-registry/your-image:tag

  • 搜索镜像：

    bash复制

    docker search nginx

  • 启动容器：

    bash复制

    docker start [容器名/ID]

  • 查看容器：

    bash复制

    docker ps

  • 进入容器：

    bash复制

    docker exec -it [容器名/ID] /bin/bash

  • 停止容器：

    bash复制

    docker stop [容器名/ID]

  • 删除容器：

    bash复制

    docker rm [容器名/ID]
4. Docker 的架构

Docker 使用客户端-服务器 (C/S) 架构模式，使用远程 API 来管理和创建 Docker 容器。Docker 主要有以下几部分组成：

  • Docker Client（客户端）

  • Docker Daemon（守护进程）

  • Docker Image（镜像）

  • Docker Container（容器）

  • Docker Registry（仓库）

 Docker基本命令

Docker 是一个开源的应用容器引擎，允许开发者将应用程序及其依赖打包到一个独立的容器中，从而实现快速部署、可移植性和环境一致性。以下是 Docker 的一些基本命令，帮助你快速上手 Docker。

1. 安装 Docker

（1）安装 Docker Engine

  • Windows 和 macOS：

    • 下载并安装 Docker Desktop。

    • 安装完成后，启动 Docker Desktop。

  • Linux：

    • 更新包索引：

    bash复制

    sudo apt-get update

    • 安装必要的包：

    bash复制

    sudo apt-get install apt-transport-https ca-certificates curl gnupg-agent software-properties-common

    • 添加 Docker 的官方 GPG 密钥：

    bash复制

    curl -fsSL https://download.docker.com/linux/ubuntu/gpg | sudo apt-key add -

    • 将 Docker 的 APT 仓库添加到系统中：

    bash复制

    sudo add-apt-repository "deb [arch=amd64] https://download.docker.com/linux/ubuntu $(lsb_release -cs) stable"

    • 安装最新版本的 Docker Engine 和 containerd：

    bash复制

    sudo apt-get update
sudo apt-get install docker-ce docker-ce-cli containerd.io

    • 验证 Docker 是否安装成功：

    bash复制

    sudo docker run hello-world
2. Docker 基本命令

（1）管理镜像

  • 拉取镜像：

    bash复制

    docker pull [镜像名]

    • 示例：

    bash复制

    docker pull ubuntu

  • 列出本地镜像：

    bash复制

    docker images

  • 删除镜像：

    bash复制

    docker rmi [镜像ID或镜像名]

    • 示例：

    bash复制

    docker rmi ubuntu

  • 搜索镜像：

    bash复制

    docker search [关键词]

    • 示例：

    bash复制

    docker search nginx

（2）管理容器

  • 运行容器：

    bash复制

    docker run [选项] [镜像名] [命令]

    • 示例：

    bash复制

    docker run -d -p 80:80 nginx

    • -d：后台运行容器。

    • -p：端口映射，格式为 宿主机端口:容器端口。

  • 列出正在运行的容器：

    bash复制

    docker ps

  • 列出所有容器：

    bash复制

    docker ps -a

  • 进入容器：

    bash复制

    docker exec -it [容器ID或容器名] /bin/bash

    • 示例：

    bash复制

    docker exec -it my_container /bin/bash

  • 停止容器：

    bash复制

    docker stop [容器ID或容器名]

    • 示例：

    bash复制

    docker stop my_container

  • 启动容器：

    bash复制

    docker start [容器ID或容器名]

    • 示例：

    bash复制

    docker start my_container

  • 删除容器：

    bash复制

    docker rm [容器ID或容器名]

    • 示例：

    bash复制

    docker rm my_container

  • 删除所有已停止的容器：

    bash复制

    docker container prune

（3）管理数据卷

  • 创建数据卷：

    bash复制

    docker volume create [数据卷名]

    • 示例：

    bash复制

    docker volume create my_volume

  • 列出数据卷：

    bash复制

    docker volume ls

  • 删除数据卷：

    bash复制

    docker volume rm [数据卷名]

    • 示例：

    bash复制

    docker volume rm my_volume

  • 删除所有未使用的数据卷：

    bash复制

    docker volume prune

（4）管理网络

  • 创建网络：

    bash复制

    docker network create [网络名]

    • 示例：

    bash复制

    docker network create my_network

  • 列出网络：

    bash复制

    docker network ls

  • 删除网络：

    bash复制

    docker network rm [网络名]

    • 示例：

    bash复制

    docker network rm my_network

  • 连接容器到网络：

    bash复制

    docker network connect [网络名] [容器名或容器ID]

    • 示例：

    bash复制

    docker network connect my_network my_container

  • 断开容器与网络的连接：

    bash复制

    docker network disconnect [网络名] [容器名或容器ID]

    • 示例：

    bash复制

    docker network disconnect my_network my_container
3. Docker Compose

Docker Compose 是一个工具，用于定义和运行多容器 Docker 应用程序。通过一个 YAML 文件，你可以配置应用程序的服务、网络和卷。

  • 安装 Docker Compose：

  • 创建 docker-compose.yml 文件：

    yaml复制

    version: '3'
services:
  web:
    image: nginx
    ports:
      - "80:80"
  db:
    image: mysql
    environment:
      MYSQL_ROOT_PASSWORD: example

  • 启动服务：

    bash复制

    docker-compose up

  • 停止服务：

    bash复制

    docker-compose down
4. 常见问题解决

  • 权限问题：

    • 如果在运行 Docker 命令时遇到权限问题，可以将当前用户添加到 docker 组：

    bash复制

    sudo usermod -aG docker ${USER}

    • 重新登录或重启系统以使更改生效。

  • 清理未使用的资源：

    • 清理未使用的镜像、容器、数据卷和网络：

    bash复制

    docker system prune

使用Docker搭建实验环境 

Docker 是一个强大的工具，可以快速搭建各种实验环境，无论是开发、测试还是学习新的技术栈，Docker 都能提供一致性和隔离性。以下将通过几个具体的实验环境搭建示例，展示如何使用 Docker 快速搭建实验环境。

1. 搭建一个简单的 Web 应用环境

假设你想搭建一个简单的 Web 应用环境，使用 Nginx 作为 Web 服务器，MySQL 作为数据库。

（1）创建 docker-compose.yml 文件

yaml复制

version: '3'
services:
  web:
    image: nginx:latest
    ports:
      - "80:80"
    volumes:
      - ./html:/usr/share/nginx/html
    depends_on:
      - db

  db:
    image: mysql:5.7
    environment:
      MYSQL_ROOT_PASSWORD: example
      MYSQL_DATABASE: mydb
      MYSQL_USER: user
      MYSQL_PASSWORD: password
    ports:
      - "3306:3306"
    volumes:
      - ./mysql_data:/var/lib/mysql

（2）创建 Web 应用内容

在项目目录下创建一个 html 文件夹，并在其中创建一个简单的 HTML 文件 index.html：

HTML复制

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>My Web App</title>
</head>
<body>
    <h1>Welcome to My Web App</h1>
</body>
</html>

预览

（3）启动服务

在项目目录下运行以下命令：

bash复制

docker-compose up -d

  • -d 参数表示在后台运行服务。

（4）访问 Web 应用

打开浏览器，访问 http://localhost，你应该能看到你的 Web 应用。

（5）停止服务

当你完成实验后，可以运行以下命令停止服务：

bash复制

docker-compose down
2. 搭建一个 Python Flask 应用环境

假设你想搭建一个基于 Python Flask 的 Web 应用环境。

（1）创建项目结构

复制

my_flask_app/
├── app.py
├── requirements.txt
├── Dockerfile
└── docker-compose.yml

（2）创建 app.py 文件

Python复制

from flask import Flask

app = Flask(__name__)

@app.route('/')
def hello_world():
    return 'Hello, Docker!'

if __name__ == '__main__':
    app.run(host='0.0.0.0', port=5000)

（3）创建 requirements.txt 文件

Flask==2.0.1

（4）创建 Dockerfile 文件

dockerfile复制

FROM python:3.9-slim

WORKDIR /app

COPY requirements.txt requirements.txt
RUN pip install -r requirements.txt

COPY . .

CMD ["python", "app.py"]

（5）创建 docker-compose.yml 文件

yaml复制

version: '3'
services:
  web:
    build: .
    ports:
      - "5000:5000"

（6）启动服务

在项目目录下运行以下命令：

bash复制

docker-compose up -d

（7）访问 Flask 应用

打开浏览器，访问 http://localhost:5000，你应该能看到 "Hello, Docker!" 的消息。

（8）停止服务

当你完成实验后，可以运行以下命令停止服务：

bash复制

docker-compose down
3. 搭建一个 Node.js 应用环境

假设你想搭建一个基于 Node.js 的 Web 应用环境。

（1）创建项目结构

复制

my_node_app/
├── app.js
├── package.json
├── Dockerfile
└── docker-compose.yml

（2）创建 app.js 文件

JavaScript复制

const express = require('express');
const app = express();

app.get('/', (req, res) => {
    res.send('Hello, Docker!');
});

app.listen(3000, () => {
    console.log('App is running on port 3000');
});

（3）创建 package.json 文件

JSON复制

{
    "name": "my_node_app",
    "version": "1.0.0",
    "description": "",
    "main": "app.js",
    "scripts": {
        "start": "node app.js"
    },
    "dependencies": {
        "express": "^4.17.1"
    }
}

（4）创建 Dockerfile 文件

dockerfile复制

FROM node:14-slim

WORKDIR /app

COPY package.json package.json
RUN npm install

COPY . .

CMD ["npm", "start"]

（5）创建 docker-compose.yml 文件

yaml复制

version: '3'
services:
  web:
    build: .
    ports:
      - "3000:3000"

（6）启动服务

在项目目录下运行以下命令：

bash复制

docker-compose up -d

（7）访问 Node.js 应用

打开浏览器，访问 http://localhost:3000，你应该能看到 "Hello, Docker!" 的消息。

（8）停止服务

当你完成实验后，可以运行以下命令停止服务：

bash复制

docker-compose down

 

docker安全之容器资源控制 安全加固
LY_CS的博客
03-03 4890
目录 一、cgroup简介 二、 容器资源控制 1、内存限制 ​2、cpu限额 ​3、Block IO限制 ​三、docker 安全加固 在使用 docker 运行容器时，默认的情况下，docker没有对容器进行硬件资源的限制，当一台主机上运行几百个容器，这些容器虽然互相隔离，但是底层却使用着相同的 CPU、内存和磁盘资源。如果不对容器使用的资源进行限制，那么容器之间会互相影响，小的来说会导致容器资源使用不公平；大的来说，可能会导致主机和集群资源耗尽，服务完全不可用。 docker 作为
Docker---docker安全加固之安全隔离
m0_62341392的博客
01-10 3479
目录 docker安全加固之安全隔离（如何增强隔离性） 设置特权级运行的容器： --privileged=true（开特权） 【--cap-add只给某一个权限】 docker安全加固之安全隔离（如何增强隔离性） server1 docker run -it --rm --memory 200M busybox / # free -m #给了200M但是swap出现的还是2G *proc是没有做隔离的，所以容器和宿主机看到的是一样的【直接访问的是根下的proc】 free -m
Docker 安全
zoufuf666的博客
04-04 4646
容器安全容器安全的起源Docker 与虚拟机区别Docker容器存在的安全问题Docker engine安全镜像安全Linux 内核权限安全如何提高容器的安全性保障镜像安全加强内核安全和管理使用安全容器 容器安全的起源 学习docker安全前，要了解Docker 是基于 Linux 内核的 Namespace 技术实现资源隔离的，所有的容器都共享主机的内核。这方面虚拟化和容器技术是有区别的，相对来讲虚拟机有着更好的隔离性和安全性，而容器的隔离性和安全性则相对较弱。 Docker 与虚拟机区别 虚拟机是通过
Docker安全最佳实践
大鱼
05-03 1505
Docker安全最佳实践
系统安全 - Linux /Docker 安全模型及实践
小工匠
10-02 5860
Linux 安全体系的核心是正确的权限配置和最小权限原则的实践。通过配置合适的权限、使用非 root 账户运行服务，以及对日志的有效监控，可以大大提升系统的安全性。下一步将介绍如何使用 HIDS 等安全工具，为 Linux 系统提供额外的保护层。
Docker安全基线
个人博客
12-28 3331
Docker安全基线 服务配置 1.高危-限制容器之间的网络流量 描述： 默认情况下，同一主机上的容器之间允许所有网络通信。 如果不需要，请限制所有容器间的通信。 将需要相互通信的特定容器链接在一起。默认情况下，同一主机上所有容器之间都启用了不受限制的网络流量。 因此，每个容器都有可能读取同一主机上整个容器网络上的所有数据包。 这可能会导致意外和不必要的信息泄露给其他容器。 因此，限制容器间的通信。 加固建议： 在守护程序模式下运行docker并传递**–icc = false**作为参数。 例如， /us
【Docker】Docker安全性与安全实践(五)
Jing_Hua
07-28 6990
Docker容器运行在宿主机的操作系统上，并共享操作系统的内核。因此，必须确保容器之间以及容器与宿主机之间的隔离性，以防止容器之间的相互影响和潜在的恶意行为。Docker镜像是容器的基础，包含了应用程序及其依赖的文件系统。不要在容器中使用root用户，以避免容器拥有对宿主机的特权访问。在运行容器时，配置容器和应用程序的安全参数，比如使用适当的AppArmor或Seccomp配置，限制容器能够访问的资源。对容器间的通信进行适当的网络隔离，限制容器之间的相互访问，确保不必要的网络流量被阻止。
Docker安全防护与配置
aming
02-17 2533
Docker Daemon 启动的服务对外提供的是 HTTP 接口，为了增强 HTTP 连接的安全性，我们通过设置 TLS 来认证客户端是可信的，只有通过证书验证的客户端才可以连接 Docker Daemon。（1）创建容器： 通过 LInux 系统自带的隔离的方式，将文件系统、进程、设备、网络等资源进行隔离，对权限、CPU 资源等进行控制，最终实现容器之间互不影响。的权限非常大，接近于宿主机的权限，为了防止用户的滥用，需要增加限制，只提供给容器必须的权限。这些 API 并不涉及用户账户和用户认证。
Docker安全性：最佳实践和常见安全考虑
日常分享数据分析开发、编程语言内容
12-15 2347
通过深入了解 Docker 安全性的最佳实践、常见安全考虑以及使用 Docker 安全工具，本文提供了更为丰富和实际的示例代码。Docker 安全性是保障容器环境稳定和可靠运行的关键，它需要从容器镜像、运行时、网络、文件系统等多个层面综合考虑。希望通过这篇文章，大家能够更全面地了解 Docker 安全性，合理应用于实际项目中，提高容器化应用的安全性。
Docker安全及日志管理资源
05-15
Docker安全及日志管理资源
关于docker安全之Docker-TLS加密通讯问题
01-20
一、docker存在的安全问题 docker自身漏洞 作为一款应用 Docker 本身实现上会有代码缺陷。CVE官方记录Docker历史版本共有超过20项漏洞。黑客常用的攻击手段主要有代码执行、权限提升、 信息泄露、权限绕过等。目前 ...
docker安全
Yusheng9527的博客
03-16 1000
docker安全 Docker存在的安全问题Docker自身漏洞Docker源码问题Docker架构缺陷与安全机制Docker安全基线标准内核级别主机级别网络级别镜像级别容器级别其他设置容器相关的常用安全配置方法容器最小化Docker远程API访问控制在docker服务配置文件指定监听内网ip重启 Docker在宿主机的firewalld上做IP访问控制在客户端上实现远程授权访问限制流量流向镜像安全 Docker存在的安全问题 Docker自身漏洞 作为一款应用Docker本身实现上会有代码缺陷。CVE官
Docker 安全及日志管理
2402_83805984的博客
07-25 1259
https的单向认证流程：0）服务端会事先通过CA签发服务端证书和私钥文件1）客户端发送https请求给服务端2）服务端会先返回一个包含公钥、证书有效期、CA机构信息等的服务端证书给客户端3）客户端收到服务端证书后，会先用本地的CA证书校验证书的有效性，如果证书有效，则继续下一步操作，证书无效则显示告警信息4）客户端继续发送自己可支持的对称加密方案给服务端5）服务端会选择加密程度最高的加密方案，并通过明文方式发送给客户端。
Docker --docker安全、docker资源控制、docker安全加固
ly660402的博客
02-19 1003
Docker容器的安全性，很大程度上依赖于Linux系统自身，评估Docker的安全性时，主要考虑以下几个方面： Linux内核的命名空间机制提供的容器隔离安全 Linux控制组机制对容器资源的控制能力安全。 Linux内核的能力机制所带来的操作权限安全 Docker程序（特别是服务端）本身的抗攻击性。 其他安全增强机制对容器安全性的影响。 命名空间隔离的安全 当docker run启动一个容器时，Docker将在后台为容器创建一个独立的命名空间。命名空间提供了最基础也最直接的隔离。 与虚拟机方...
docker进入启动失败的容器
a13568hki的博客
07-07 206
重新创建容器，COMMAND命令为 /bin/sh。
20250706-7-Docker 快速入门（上）-容器存在的意义、优势、Docker_笔记
07-06 1352
核心能力：基于CPU、内存等指标自动扩容/缩容云服务方案：阿里云（云主机弹性伸缩）、AWS（Auto Scaling）技术挑战：及时扩容是弹性伸缩最具挑战性的部分核心差异：虚拟机通过Hypervisor层实现硬件虚拟化，容器通过Docker引擎直接共享主机操作系统内核。
【Docker基础】Docker网络模式：None模式深度解析
最新发布
IT成长日记的博客
07-08 928
Docker的None网络模式通过完全的网络隔离，为安全敏感型应用提供了理想的运行环境。
Nginx自签名SSL证书生成与配置实操指南，使用Docker快速搭建
baidu_24794635的博客
07-08 134
以下是对本实操示例的简单介绍： - 使用开源自签证书生成工具 mkcert 快速生成自签名 SSL 证书 - 使用Docker快速启动Nginx，并配置启用自签名 SSL 证书访问 - mkcert 开源工具地址：https://github.com/FiloSottile/mkcert - Docker快速启动Nginx工具代码参考：https://github.com/luler/nginx_ssl_fast mkcert安装使用与Docker搭建Nginx的自签证书反代服务参考：https://bl
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值