使用 AppArmor 包含 Docker 引擎

Question

在面对提醒的是，码头工人引擎应该运行包含用的AppArmor或SELinux的，如何在Ubuntu 14.04 AppArmor配置下运行多克？

该泊坞窗安全文档和LXC文档提的是Ubuntu自带的用于LXC AppArmor的模板。必须做些什么才能利用它？

假设默认的 Ubuntu Server 14.04 主机和 Docker 安装了curl -s https://get.docker.io/ubuntu/ | sudo sh，接下来必须做什么才能在运行容器时将 Docker 引擎本身包含在 AppArmor 下？

Answer 1

嗯，这是使用 Ubuntu 存储库外部的软件包时出现的问题。您需要要求 Docker 引擎开发人员为您编写 apparmor 配置文件，或者编写您自己的配置文件。与 selinux 配置文件相同。

现在您将在这里开始获取选项，您是否使用 LXC、apparmor、selinux 等。

例如，Docker 开发人员认为您需要更新 - http://blog.docker.com/，这当然是管理这种情况的一种方法。

Apparmor 和 selinux 可以（可能）保护您免受零日攻击，但攻击可以通过更新修复。

apparmor的优点是比较容易学习。缺点是你必须写自己的个人资料。

请参阅 apparmor 文档

https://help.ubuntu.com/community/AppArmor#Profile_customization

https://wiki.ubuntu.com/AppArmor

或者，对于一个实际的例子，使用一个相当简单的程序，请参见http://blog.bodhizazen.com/linux/apparmor-privoxy-profile/

只要我们有意见...

与 Ubuntu 相比，RHEL 和 Fedora 在虚拟化方面稍微领先一些。RHEL 正在与 Docker 合作提供支持，包括 selinux

http://www.redhat.com/about/news/press-archive/2014/4/red-hat-docker-expand-collaboration

我不确定 Fedora 和 Docker，但 Fedora 使用 selinux 和 virtmanager 来管理 LXC - http://major.io/2014/04/21/launch-secure-lxc-containers-on-fedora-20-using-selinux -和-svirt/

最终，您必须查看意见并选择最适合您的解决方案。

Answer 2

docker-engine 的当前版本是 1.10.2-cs1，这里是 Docker 在https://docs.docker.com/engine/security/apparmor/提供的用于运行容器的默认 AppArmor 配置文件

#include <tunables/global>


profile docker-default flags=(attach_disconnected,mediate_deleted) {

  #include <abstractions/base>


  network,
  capability,
  file,
  umount,

  deny @{PROC}/{*,**^[0-9*],sys/kernel/shm*} wkx,
  deny @{PROC}/sysrq-trigger rwklx,
  deny @{PROC}/mem rwklx,
  deny @{PROC}/kmem rwklx,
  deny @{PROC}/kcore rwklx,

  deny mount,

  deny /sys/[^f]*/** wklx,
  deny /sys/f[^s]*/** wklx,
  deny /sys/fs/[^c]*/** wklx,
  deny /sys/fs/c[^g]*/** wklx,
  deny /sys/fs/cg[^r]*/** wklx,
  deny /sys/firmware/efi/efivars/** rwklx,
  deny /sys/kernel/security/** rwklx,
}

要将新配置文件加载到 AppArmor 中： $ apparmor_parser -r -W /path/to/your_profile

当您运行容器时，它会使用 docker-default 策略，除非您使用 security-opt 选项覆盖它。例如，以下内容显式指定了不同的 docker 策略：

$ docker run --rm -it --security-opt apparmor:docker-different hello-world