这些子进程将只允许在限定范围内进行操作，例如仅仅负责虚拟网络设定或文件系统管理、配置操作 等。 最后，建议采用专用的服务器来运行 Docker 和相关的管理服务（例如管理服务比如 ssh 监控和进程监 控、管理工具 nrpe、collectd 等）。其它的业务服务都放到容器中去运行。 Docker服务端的防护 Docker —— 从入门到实践 82 服务端防护 能力机制（Capability）是

消息发布等。 代理，网桥 控制器，管理，配置以及更新 替代方案 为什么不在一个单一的容器里运行多个程序？ 1.透明化。为了使容器组中的容器保持一致的基础设施和服务，比如进程管理和资源监 控。这样设计是为了用户的便利性。 2.解偶软件之间的依赖。每个容器都可能重新构建和发布，Kubernetes 必须支持热发布 和热更新（将来）。 3.方便使用。用户不必运行独立的程序管理，也不用担心每个运用程序的退出状态。