容器內部的特權下降

Question

我的一個圖像需要安裝設備。因此，它在啓動時需要cap_sys_admin。但是，一旦不再需要，我想放棄這個功能。

有什麼方法可以在稍後階段降低功能？

Answer 1

您應該考慮使用捲來完成數量，而不是要求容器從內部執行它們。

例如，而不是這樣做的：

docker run --cap-add SYS_ADMIN ... 

，然後調用安裝內部：

mount -t nfs server:/some/path /local/path 

相反，你可以創建一個使用 '本地' 驅動程序，像這樣一個量：

docker volume create -d local -o type=nfs -o device=:/some/path -o o=addr=server,rw my_volume 

然後當你可以運行容器時使用它：

docker run -v my_volume:/local/path ... 

容器啓動時，主機將處理掛載操作，因爲文件系統將可用於容器。該容器不需要添加功能。