【从零造容器】Seccomp-BPF 与 Capabilities：容器安全的两道防线
内容提要
本文讨论了容器安全机制中的两道防线：Capabilities 和 Seccomp-BPF。Capabilities 将 root 权限拆分，允许容器仅使用必要的特权，防止执行危险操作。Seccomp-BPF 通过过滤系统调用，阻止容器执行关键系统调用，从而增强安全性。Docker 默认配置结合这两种机制，确保容器进程的安全性，防止潜在的宿主机攻击。
关键要点
-
容器进程与宿主机共享同一内核，系统调用直接影响宿主机。
-
Capabilities 将 root 权限拆分，允许容器仅使用必要的特权，防止执行危险操作。
-
Docker 默认配置丢弃了许多危险的 capabilities，如 CAP_SYS_ADMIN 和 CAP_SYS_BOOT。
-
Seccomp-BPF 通过过滤系统调用，增强容器的安全性，阻止关键系统调用。
-
Docker 默认启用的 seccomp profile 阻止了约 44 个系统调用，主要涉及内核管理和文件系统操作。
-
Capabilities 和 Seccomp-BPF 结合使用，形成多层防御机制，确保容器安全。
延伸解读
容器安全机制的必要性
容器与宿主机共享同一内核，系统调用直接影响宿主机的安全性。通过引入 Capabilities 和 Seccomp-BPF，容器能够有效限制进程的权限和系统调用，从而防止潜在的安全风险。这种双重防护机制是确保容器安全的关键，尤其在多租户环境中更显重要。
Capabilities 的细粒度控制
Capabilities 允许将 root 权限拆分，使容器仅获得必要的特权，避免执行危险操作。Docker 默认配置丢弃了许多高风险的 capabilities，如 CAP_SYS_ADMIN 和 CAP_SYS_BOOT，确保即使容器以 root 身份运行，也无法进行可能危害宿主机的操作。这种设计提升了容器的安全性，降低了攻击面。
Seccomp-BPF 的灵活性与性能
Seccomp-BPF 提供了一种灵活的系统调用过滤机制，允许用户定义哪些系统调用可以被执行。虽然在性能上会带来一定的开销，但对于大多数应用来说，这种开销是可以接受的。开发者在设计容器时应关注默认的 seccomp profile，确保其符合应用需求，同时不妥协安全性。
延伸问答
什么是容器的 Capabilities 机制？
Capabilities 机制将 root 权限拆分，允许容器仅使用必要的特权，防止执行危险操作。
Seccomp-BPF 如何增强容器的安全性？
Seccomp-BPF 通过过滤系统调用，阻止容器执行关键系统调用，从而增强安全性。
Docker 默认配置中丢弃了哪些危险的 capabilities？
Docker 默认配置丢弃了 CAP_SYS_ADMIN、CAP_NET_ADMIN、CAP_SYS_BOOT 等多个危险的 capabilities。
如何自定义 Docker 的 seccomp profile？
可以使用自定义 JSON profile，通过 --security-opt seccomp=my-profile.json 来运行 Docker 容器。
Capabilities 和 Seccomp-BPF 之间有什么关系？
Capabilities 和 Seccomp-BPF 结合使用，形成多层防御机制，分别从权限和系统调用层面保护容器安全。
容器进程如何共享宿主机内核？
容器进程与宿主机共享同一内核，系统调用直接影响宿主机，因此需要额外的安全防线。
