Linux 容器安全加固需贯穿全生命周期：精简镜像（优选 distroless）、非 root 运行、启用命名空间 /cgroups 隔离、禁用高危 cap、限制资源、签名验证与漏洞扫描。
Linux 容器安全加固的核心在于从镜像源头控制风险、运行时限制权限、隔离资源并持续监控。Docker 本身不是“沙箱”，默认配置存在明显攻击面，必须主动收紧。
精简基础镜像，杜绝冗余组件
官方镜像常含调试 工具 （如curl、vim、bash）和非必要服务，会扩大攻击面。优先选用alpine 或distroless镜像，例如用 gcr.io/distroless/static:nonroot 替代ubuntu:22.04。
- 构建时禁用包管理器缓存：
RUN apt-get update && apt-get install -y xxx && rm -rf /var/lib/apt/lists/* - 删除临时文件、文档、手册页：
RUN rm -rf /usr/share/doc /usr/share/man /tmp/* - 避免使用
FROM scratch直接打包二进制——它不支持动态链接，调试困难；distroless 是更稳妥的替代方案
以非 root 用户运行容器进程
Docker 默认以 root 身份启动容器内主进程，一旦被突破即可获得宿主机 root 权限。必须显式指定低权限用户。
- 在 Dockerfile 中添加：
RUN addgroup -g 1001 -f appgroup && adduser -S appuser -u 1001，再用USER appuser - 运行时强制覆盖：
docker run --user 1001:1001，配合--read-only和--tmpfs /tmp:rw,size=10m进一步限制写入 - 检查镜像是否含敏感文件权限：运行
docker run --rm IMAGE ls -l /etc/shadow，若可读则说明镜像未清理系统凭证
启用命名空间与 cgroups 硬隔离
Linux 内核机制是容器隔离的基础，但 Docker 默认未全部启用。需通过运行时参数关闭危险能力、限制资源。
- 禁用高危 cap：
--cap-drop=ALL --cap-add=NET_BIND_SERVICE（仅开放 端口 绑定所需能力） - 关闭特权模式：永远不要用
--privileged，改用--device按需挂载硬件设备 - 限制内存 /CPU：
--memory=512m --memory-swap=512m --cpus=1.0，防止容器耗尽宿主机资源 - 挂载
/proc为只读：--read-only --tmpfs /run --tmpfs /tmp，阻断 /proc/self/exe 等提权路径
镜像签名与可信仓库管控
未经验证的镜像可能被中间人篡改或包含后门。必须建立镜像准入流程，而非依赖“看起来像官方镜像”。
- 启用 Docker Content Trust（DCT）：
export DOCKER_CONTENT_TRUST=1，拉取前自动校验签名 - 私有仓库集成 Notary 或 Cosign：对 CI 构建的镜像打签，Kubernetes 中通过
imagePolicyWebhook拦截未签名镜像 - 扫描镜像漏洞：
trivy image --severity HIGH,CRITICAL IMAGE_NAME，将扫描结果作为 CI 流水线门禁 - 禁止使用
latest标签：明确指定 SHA256 摘要（如nginx@sha256:abc123……），确保可复现、不可篡改
容器安全不是加一层 防火墙 就万事大吉，而是贯穿镜像构建、分发、部署、运行全生命周期的持续实践。每个环节松动一点，整体防线就可能崩塌。
