Docker安全管理与HTTPS协议

1 Docker容器的安全管理注意事项

Docker本身的架构与机制就可能产生问题,例如这样一种攻击场景,黑客已经控制了宿主机上的一些容器,或者获得了通过在公有云上建立容器的方式,然后对宿主机或其他容器发起攻击。
 

1. 容器之间的局域网攻击 
主机上的容器之间可以构成局域网,因此针对局域网的ARP欺骗、端口扫描、广播风暴等攻击方式便可以用上。
所以,在一个主机上部署多个容器需要合理的配置网络安全,比如设置 iptables 规则。

2. DDoS 攻击耗尽资源 
Cgroups 安全机制就是要防止此类攻击的,不要为单一的容器分配过多的资源即可避免此类问题。

3. 有漏洞的系统调用
Docker 与虚拟机的一个重要的区别就是 Docker 与宿主机共用一个操作系统内核。
一旦宿主内核存在可以越权或者提权漏洞,尽管Docker使用普通用户执行,在容器被入侵时,攻击者还可以利用内核漏洞跳到宿主机做更多的事情。

4. 共享root用户权限
如果以 root 用户权限运行容器(docker run --privileged),容器内的 root 用户也就拥有了宿主机的root权限。

docker容器使用的安全注意点:
尽量别做的事:
尽量不用 --privileged 运行容器(授权容器root用户拥有宿主机的root权限)
尽量不用 --network host 运行容器(容器共享宿主机的网络命名空间)
尽量不在容器中运行 ssh 服务
尽量不把宿主机的关键敏感目录挂载到容器中


尽量要做的事:
尽量使用较小体积的镜像运行容器
尽量以单一应用进程运行容器
尽量从官方仓库中拉取镜像
尽量保证容器中的应用是最新稳定版本
尽量安装使用最新稳定版本的docker程序
尽量以最低权限运行容器
尽量给docker目录(默认/var/lib/docker/)分配独立的文件系统
尽量以资源限制的方式运行容器  -m  --memory-swap   --cpu-quota   --cpuset-cpus   --device-write-bps
尽量以只读的方式挂载宿主机目录到容器数据卷中,持久化容器数据时除外     -v 宿主机目录:容器数据卷目录:ro
尽量设置容器的重启策略和次数   --restart always|on-failure:N


总结:使用最少资源和最小权限运行容器,此为 docker 容器安全的核心思想。

2 HTTPS 证书认证

如何获取证书?
1)从证书颁发机构(CA)如 Let's Encrypt、DigiCert 或云服务商购买或者申请免费证书(免费证书的有限期一般为一年以内)
2)在本地使用 openssl、mkcert、cfssl 等工具生成自签名证书


openssl创建证书的步骤:证书文件和私钥文件
1)创建CA私钥和证书
openssl genrsa -out ca.key 2048                                     #创建CA私钥文件(通常是 .crt 或 .pem 扩展名)
openssl req -new -x509 -days 3650 -key ca.key -out ca.pem           #基于CA私钥创建CA证书文件(通常是 .key 扩展名)

2)创建服务端证书自签名请求文件
openssl genrsa -out server.key 2048                                 #创建服务端私钥文件
openssl req -new -key server.key -out server.csr                    #基于服务端私钥创建服务端证书自签名请求文件

3)创建服务端证书
openssl x509 -req -days 3650 -in server.csr -CA ca.pem -CAkey ca.key  -CAcreateserial -out server.pem    #基于CA私钥、CA证书和服务端证书自签名请求文件签发服务端证书文件

配置nginx支持https
1)安装时需要添加 --with-http_ssl_module 模块(启用SSL功能)
2)修改配置文件,添加ssl配置
    server {
        listen       443 ssl;                     #设置ssl访问端口为 443
        server_name  www.xy101.com;               #设置绑定证书的域名

        ssl_certificate /etc/nginx/ssl/server.pem;          #设置服务端证书文件路径
        ssl_certificate_key /etc/nginx/ssl/server.key;      #设置服务端私钥文件路径

        #其它ssl配置参数
        ssl_session_cache   shared:SSL:1m;                                         #设置ssl缓存
        ssl_session_timeout 5m;                                                    #设置客户端连接可复用ssl缓存的有效时间
        ssl_protocols TLSv1 TLSv1.1 TLSv1.2;                                       #设置支持的ssl协议版本
        ssl_ciphers ECDH:AESGCM:HIGH:!RC4:!DH:!MD5:!aNULL:!eNULL;                  #设置支持的加密套件
        ssl_prefer_server_ciphers on;                                              #设置优先使用服务端的加密套件

        ....

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处:http://www.xdnf.cn/news/1488634.html

如若内容造成侵权/违法违规/事实不符,请联系一条长河网进行投诉反馈,一经查实,立即删除!

相关文章

C++ Lambda表达式个人理解

1、Lambda概述 lambda表达式(也称为lambda函数)是在调用或作为函数参数传递的位置处定义匿名函数对象的便捷方法。通常,lambda用于封装传递给算法或异步方法的几行代码。 2、Lambda表达式定义 2.1 Lambda表达式实例 Lambda有很多叫法&…

按图搜索新体验:阿里巴巴拍立淘API返回值详解

阿里巴巴拍立淘API是一项基于图片搜索的商品搜索服务,它允许用户通过上传商品图片,系统自动识别图片中的商品信息,并返回与之相关的搜索结果。以下是对阿里巴巴拍立淘API返回值的详细解析: 一、主要返回值内容 商品信息 商品列表…

深度学习趋同性的量化探索:以多模态学习与联合嵌入为例

深度学习趋同性的量化探索:以多模态学习与联合嵌入为例 参考文献 据说是2024年最好的人工智能论文,是否有划时代的意义? [2405.07987] The Platonic Representation Hypothesis (arxiv.org) ​arxiv.org/abs/2405.07987 趋同性的量化表达 …

CentOS搭建Apache服务器

安装对应的软件包 [roothds ~]# yum install httpd mod_ssl -y 查看防火墙的状态和selinux [roothds ~]# systemctl status firewalld [roothds ~]# cat /etc/selinux/config 若未关闭,则关闭防火墙和selinux [roothds ~]# systemctl stop firewalld [roothds ~]# …

全新微软语音合成网页版源码,短视频影视解说配音网页版系统-仿真人语音

源码介绍 最新微软语音合成网页版源码,可以用来给影视解说和短视频配音。它是TTS文本转语言,API接口和PHP源码。 这个微软语音合成接口的源码,超级简单,就几个文件搞定。用的是官方的API,试过了,合成速度…

Github个人网站搭建详细教程【Github+Jekyll模板】

文章目录 前言一、介绍1 Github Pages是什么2 静态网站生成工具3 Jekyll简介Jekyll 和 GitHub 的关系 4 Mac系统Jekyll的安装及使用安装Jekyll的简单使用 二、快速搭建第一个Github Pages网站三、静态网站模板——Chirpy1 个人定制 四、WordPress迁移到Github参考资料 前言 23…

DMv8共享存储集群部署

DMv8共享存储集群部署 环境说明 操作系统:centos7.6 服务器:2台虚拟机 达梦数据库版本:达梦V8 安装前准备工作 参考达梦官方文档:https://eco.dameng.com/document/dm/zh-cn/ops/DSC-installation-cluster.html#%E4%B8%80%E3…

Java面试八股之什么是spring boot starter

什么是spring boot starter Spring Boot Starter是Spring Boot项目中的一个重要概念。它是一种依赖管理机制,用于简化Maven或Gradle配置文件中的依赖项声明。Spring Boot Starter提供了一组预定义的依赖关系,这些依赖关系被封装在一个单一的包中&#x…

昇思25天学习打卡营第22天|munger85

LSTMCRF序列标注 我们希望得到这个模型来对词进行标注,B是开始,I是实体词的非开始,O是非实体词。 我们首先需要lstm对序列里token的记忆,和计算每个token发到crf的分数,发完了再退出来,最后形成1模型。那么…

海山数据库(He3DB)技术解析:海山Redis定时任务与持久化管控设计

文章目录 引言一、背景介绍二、具体实现1、多副本容灾功能2、主备切换后任务断点续做功能3、持久化管控编排功能 三、总结作者 引言 云Redis数据库服务是目前广泛应用的模式,其数据持久化方案是现在研究的热点内容,数据持久化操作主要由参数设置自动触发…

500元左右有好用的开放式耳机吗?百元开放式耳机推荐

正所谓授人以鱼不如授人以渔,在此大圣分享一下我选开放式耳机的的一切技巧。 在挑选开放式耳机的时候,我主要会考察以下这些点: 1-音质表现 关注频响范围,确保能涵盖您常听音乐类型所需的频率。 留意声音的清晰度、层次感和失…

halcon_C#联合halcon打开摄像头

1. 创建halcon项目 -> 2.测试连接 -> 3. 在halcon中打开摄像头成功 -> 4. 插入代码 -> 5. 导出为.cs文件 6. 创建VS项目 -> 7.将action部分代码嵌入winform -> 8. 编写代码 -> // 导入HalconDotNet命名空间,这是用于Halcon图像处理的…

IF=8.5 MIMIC-IV高阶玩法!中国用新指标SHR+机器学习拿一区top,思路太牛了

‍ MIMIC-IV 发文难?那是你还没遇到对的思路!如今机器学习数据库挖掘的文章层出不穷,今天介绍的这篇文章是在MIMIC-IV数据库的基础上,用了一个新指标—应激性高血糖比(SHR),结合机器学习构建预测…

【网络流】——初识(最大流)

网络流-最大流 基础信息引入一些概念基本性质 最大流定义 Ford–Fulkerson 增广Edmons−Karp算法Dinic 算法参考文献 基础信息 引入 假定现在有一个无限放水的自来水厂和一个无限收水的小区,他们之间有多条水管和一些节点构成。 每一条水管有三个属性&#xff1a…

土耳其云手机提升TikTok电商效率

在数字化飞速发展的今天,TikTok不仅是一个社交平台,更是一个巨大的电商市场。随着TikTok电商功能在全球范围内的扩展,土耳其的商家和内容创作者正面临着前所未有的机遇。本文将详细介绍土耳其云手机怎样帮助商家抓住机遇,实现业务…

内置命令和外置命令(用户组配置文件)

通过cat /etc/group来查看用户组的权限,/etc/group文件包含了系统上所有用户组的信息。每一行代表一个用户组。 用户组配置文件格式如下: group_name:password:GID:user_list group_name:用户组的名称。password:用户组的密码。…

达门如何用虚拟现实辅助工程技术造船?

在当代造船以及海事行业中,虚拟现实辅助工程(VR Aided Engineering)技术的使用,正在快速演进并提供新的工业应用案例。该技术改变了从设计阶段到建造,再到船舶运营各个阶段的工作流程,进而提高效率、优化性…

旗晟机器人仪器仪表识别AI智慧算法

在当今迅猛发展的工业4.0时代,智能制造和自动化运维已然成为工业发展至关重要的核心驱动力。其中智能巡检运维系统扮演着举足轻重的角色。工业场景上不仅要对人员行为监督进行监督,对仪器仪表识别分析更是不可缺少的一个环节。那么我们说说旗晟仪器仪表识…

商场导航系统:从电子地图到AR导航,提升顾客体验与运营效率的智能解决方案

商场是集娱乐、休闲、社交于一体的综合性消费空间,随着商场规模的不断扩大和布局的日益复杂,顾客在享受丰富选择的同时,也面临着寻路难、店铺曝光率低以及商场管理效率低下等挑战。商场导航系统作为提升购物体验的关键因素,其重要…

canvas画两个相交的圆(React)

需求:展示两个模块及交集,以两个圆相交的方式,如下图: 一开始画,总会一个圆压住另一个圆,最后看到了paper.js,就可以了,好用,center是圆心,第一个值是X轴坐标…