docker 容器是否足够安全，可以与生产系统并行运行第三方不受信任的容器？

Question

我们计划允许在我们的基础设施上执行第三方微服务代码并与我们的 API 交互。docker化足够安全吗？是否有跟踪资源（网络、内存、CPU）容器消耗的解决方案？

Answer 1

您可以安装portainer.io（参见其演示，密码tryportainer）

但要真正隔离这些第三方微服务，您可以在基础架构上定义的自己的虚拟机中运行它们。该虚拟机将运行 Docker 守护进程和服务。只要虚拟机可以访问 API，这些微服务容器就可以正常工作，并且不会直接从基础设施引导/访问任何内容。
您需要正确定义虚拟机/调整其大小，以便为容器运行分配足够的资源，每个容器都确保其自己的资源隔离。