適用於 Docker 的 Seccomp 安全設定檔

安全運算模式 (seccomp) 是一種 Linux 核心功能。您可以使用它來限制容器內可用的動作。 seccomp() 系統呼叫會對呼叫程序的 seccomp 狀態進行操作。您可以使用此功能來限制應用程式的存取權。

僅當 Docker 使用 seccomp 建置且核心已啟用 CONFIG_SECCOMP 設定時，此功能才可用。要檢查您的核心是否支援 seccomp

$ grep CONFIG_SECCOMP= /boot/config-$(uname -r)
CONFIG_SECCOMP=y

傳遞容器的設定檔

預設 seccomp 設定檔提供使用 seccomp 執行容器的合理預設值，並停用 300 多個系統呼叫中的大約 44 個。它具有適度的保護性，同時提供廣泛的應用程式相容性。可以在 這裡

$ docker run --rm \
             -it \
             --security-opt seccomp=/path/to/seccomp/profile.json \
             hello-world