–cap-dropオプションを使ったDockerコンテナの安全性を高める工夫 | POSTD

DockerにはLinuxのケーパビリティを削除するためのオプションがあるのをご存じでしたか？ docker run --cap-drop オプションを使うと、コンテナのルートを隔離することができ、コンテナ内でのアクセス権を制限することができます。悲しいことに、ほとんどの人はコンテナやそれ以外の場所でも、セキュリティを強化していません。 翌日では手遅れ ITの世界ではセキュリティへの配慮が遅すぎるという残念な傾向があります。 セキュリティが破られた翌日に初めて、セキュリティ対策システムが購入されているのです 。 ケーパビリティを落とすことで、コンテナのセキュリティを大変手っ取り早く改善することができます。 Linuxのケーパビリティとは? ケーパビリティのmanページ によると、 capabilities とは、個別に有効無効を設定することができる特権の集まりのことです。 私流に説明すると

[gt-r-blaze]

capabilities ケーパビリティ(権限) オプションの解説

[miya-jan]

dockerが持つLinuxのcapabilityの設定についての解説。とりあえず、--cap-dropで全部落としておけばよさそう（適当）

[tkmoteki]

開発エンジニアでこの辺り考慮するのは厳しそう cap-dropオプションを使ったDockerコンテナの安全性を高める工夫 | インフラ・ミドルウェア via @nuzzel

[igrep]

コンテナの権限を弱めてリスクを減らす。

[mapk0y]

日本語訳きてた～