容器内部的特权下降

Question

我的一个图像需要安装设备。因此，它在启动时需要cap_sys_admin。但是，一旦不再需要，我想放弃这个功能。

有什么方法可以在稍后阶段降低功能？

Answer 1

您应该考虑使用卷来完成数量，而不是要求容器从内部执行它们。

例如，而不是这样做的：

docker run --cap-add SYS_ADMIN ... 

，然后调用安装内部：

mount -t nfs server:/some/path /local/path 

相反，你可以创建一个使用 '本地' 驱动程序，像这样一个量：

docker volume create -d local -o type=nfs -o device=:/some/path -o o=addr=server,rw my_volume 

然后当你可以运行容器时使用它：

docker run -v my_volume:/local/path ... 

容器启动时，主机将处理挂载操作，因为文件系统将可用于容器。该容器不需要添加功能。