Seccomp 和 Capabilities wrt Docker 环境有什么区别？

Question

我想限制一个进程（在 docker 容器中运行）执行某些功能 - 我有 2 个选项，要么限制它的功能，要么我使用 seccomp 配置文件。

我的问题是在什么情况下选择哪个选项？我对这个领域比较陌生，所以非常欢迎简单的解释。

Answer 1

基本上，seccomp 提供比 Linux capabilities 更细粒度的控制。

如果您计划旋转多个容器并且希望避免复制添加/删除功能，seccomp 可能是一个更快的解决方案（DRY 原则）。

不过，如果您只需要（原文如此）绑定到主机网络，则可以使用 NET_ADMIN 功能，而无需写下整个 seccomp 配置文件。