在 Fedora 中结合权能使用 Podman｜Linux 中国

导读：本文将演示如何使用 POSIX 权能Capability 来保护 Podman 容器的安全。Podman 是 RHEL8 中默认的容器管理工具。

本文字数：2239，阅读时长大约：3分钟

https://linux.cn/article-12859-1.html

作者：Shiwanibiradar

译者：geekpi

容器化是一项蓬勃发展的技术。在不久的将来，多达百分之七十五的全球组织可能会运行某种类型的容器化技术。由于广泛使用的技术更容易成为黑客攻击的目标，因此保护容器的安全就显得尤为重要。本文将演示如何使用 POSIX权能(Capability)来保护 Podman 容器的安全。Podman 是 RHEL8 中默认的容器管理工具。

确定 Podman 容器的权限模式

容器以特权模式或无特权模式运行。在特权模式下，容器的 uid 0 被映射到宿主机的 uid 0。对于某些情况，无特权的容器缺乏对宿主机资源的充分访问能力。但不管其操作模式如何，包括强制访问控制(Mandatory Access Control)（MAC：如 apparmor、SELinux 等）、seccomp 过滤器、删除权能(Capability)、命名空间等在内的技术有助于确保容器的安全。

要从容器外部确定特权模式：

如果上面的命令返回 ，那么容器在特权模式下运行。如果返回 ，那么容器在非特权模式下运行。

要从容器内部确定特权模式：

如果该命令允许你创建一个接口，那么你运行的是一个特权容器，否则你运行的是一个非特权容器。

权能

命名空间隔离了容器的进程，使其无法任意访问宿主机的资源，也无法访问在同一宿主机上运行的其他容器的资源。然而，在特权容器内的进程仍然可以做一些事情，如改变 IP 路由表、跟踪任意进程和加载内核模块。权能(Capability)允许人们对容器内的进程可以访问或更改的资源施加更细微的限制，即使容器在特权模式下运行也一样。权能还允许人们为无特权的容器分配它本来不会拥有的特权。

例如，如果要将  功能添加到一个无特权的容器中，以便在容器内部创建一个网络接口，你可以用下面的参数运行 ：

上面的命令演示了在一个无特权的容器中创建一个  接口。如果没有  权能，非特权容器将无法创建接口。上面的命令演示了如何将一个权能授予一个无特权的容器。

目前，大约有39 种权能可以被授予或拒绝。特权容器默认会被授予许多权能。建议从特权容器中删除不需要的权能，以使其更加安全。

要从容器中删除所有权能：

列出一个容器的权能：

上述命令显示没有向容器授予任何权能。

请参考  手册页以获取完整的权能列表：

可以使用  命令来列出目前拥有的权能：

作为另一个例子，下面的命令演示了如何从容器中删除  权能。如果没有  权能，就不能从容器中  互联网上的服务器。

最后一个例子，如果你的容器只需要  和  权能，你可以删除所有权能，然后只重新添加这两个权能来实现这样的权限设置。

上面的  命令会显示容器被授予的权能。

我希望你喜欢这个关于如何使用权能来保护 Podman 容器的简短探索。

谢谢！

via:https://fedoramagazine.org/podman-with-capabilities-on-fedora/

作者：shiwanibiradar选题：lujun9972译者：geekpi校对：wxy

本文由LCTT原创编译，Linux中国荣誉推出