将 Docker 容器限制为运行它的 UNIX 用户

Question

我正在向更多用户开放我的 Docker 服务器，但我遇到了这个问题：当我使用不是容器作者的用户（例如 paul）执行 docker ps 时，我看到所有容器并且可以与之交互（停止、杀死等），这不是我想要的。

将容器限制为原始用户然后无法访问服务器上的所有容器可能是一种好方法，所以当我执行docker ps 时，我只看到paul 运行的容器而不是@987654325 @ 或 jess?

我所有的容器都是用不同的用户启动的，没有一个是用 root 启动的。

Answer 1

1. 任何有权访问 Docker 的人都等同于 root。

   考虑一下我可以运行这样的东西：

   docker run -v /:/host alpine
   

   现在我可以使用 root 权限编辑您主机上的任何文件。

2. Docker 本质上不是一个多用户工具。要么信任每个人，要么使用虚拟化为每个人提供自己的 Docker 实例，或者在 Docker 前面使用某种 API 代理来限制人们可以做的事情。

   因为它不是一个多用户工具，Docker 并没有真正跟踪启动容器的用户，所以没有办法过滤这些信息。