Introduction to Docker Security

1. Tính năng bảo mật cơ bản của Docker:

Không nên chạy container bằng root, vì quyền lực quá cao dễ gây nguy hiểm.
Tuy nhiên, không phải lúc nào cũng có thể chạy bằng user thường do hạn chế quyền.
Docker xử lý bằng Capabilities:
- Phân quyền root thành nhiều khả năng nhỏ (capabilities).
- Chạy container dưới quyền root nhưng đã bị giới hạn những capabilities không cần thiết.
- Không cho phép container tự thêm lại capabilities đã bị loại bỏ.

AppArmor: Giám sát và hạn chế hành vi của ứng dụng theo profile.
SELinux: Kiểm soát truy cập mức kernel, chống truy cập trái phép.
seccomp: Lọc và giới hạn system calls mà container có thể thực hiện.
- Mỗi container Docker có sẵn 1 seccomp profile mặc định, có thể thay đổi khi khởi tạo.

Docker Security Scanning:
- Quét lỗ hổng bảo mật trong image private trên Docker Hub hoặc Docker Trusted Registry.
- Kiểm tra binary trong image đối chiếu với database lỗ hổng.
Docker Content Trust (DCT):
- Đảm bảo tính toàn vẹn và nguồn gốc image.
- Xác minh image đúng từ nhà xuất bản (VD: nginx chính chủ từ NGINX).
Docker Secrets:
- Quản lý mật khẩu, API key một cách bảo mật.
- Chỉ dùng được trong Swarm mode nhờ encrypted cluster store.
- Cách thức:

Namespace	Ý nghĩa
PID	Cô lập tiến trình giữa các container
NET	Mạng riêng biệt cho mỗi container
MOUNT	Hệ thống file riêng biệt
IPC	Bộ nhớ chia sẻ nội bộ container
USER	Map user container thành user khác trên host
UTS	Mỗi container có hostname riêng