《基于云平台的-Docker-多租户安全》

• 语言: 中文（简体）
• 格式: .pdf
• 来源: github.com/ningyu1

摘要

文档围绕基于云平台的Docker多租户安全展开。首先回顾安全事件，包括2015年5月官方镜像漏洞（30%官方镜像有高危漏洞）、2016年2月Ghost（glibc漏洞需要镜像升级）以及2016年5月公网暴露Daemon 2375端口问题。随后分析云端Docker应用的安全挑战：应用数爆炸、镜像来源多、应用生命周期更短、应用更动态且跨云迁移。从安全角度设计容器化应用需考虑云平台安全、镜像安全、运行时安全和安全合规。安全合规涉及权限管理，包括合理划分namespace、根据使用者区分镜像的Admin/Read/Write权限、权限体系（Docker hub的Organization & team、云平台主子账号和平行账号、LDAP&AD）。最后介绍阿里云容器服务案例，包括基于GPU安全隔离的深度学习和基于网络拓扑发现的运行时安全。

AI总结

基于云平台的Docker多租户安全面临多个挑战，包括应用数量爆炸、镜像来源多样、应用生命周期短且动态性强，以及跨云迁移带来的管理复杂性。历史上曾发生多起安全事件，例如2015年5月发现的官方镜像高危漏洞（30%的官方镜像存在此类问题），2016年2月的Ghost glibc漏洞要求镜像升级，以及2016年5月因公网暴露Daemon的2375端口引发的风险。

从安全角度设计容器化应用需从四个方面入手：云平台安全、镜像安全、运行时安全和安全合规。在安全合规方面，重点包括权限管理，如合理划分namespace，根据使用者区分镜像的Admin、Read、Write权限，并利用Docker Hub的Organization与Team、云平台的主子账号和平行账号，以及LDAP/AD等权限体系进行控制。

阿里云容器服务提供了两项案例：一是基于GPU安全隔离的深度学习方案，通过Docker Compose描述应用架构；二是基于网络拓扑发现的运行时安全方案。该容器服务具备全兼容开源标准、无缝集成云服务以及DevOps赋能的特点，可支持互联网、移动、函数计算、深度学习等多种场景。