一、容器安全基础配置

1. 非root用户运行容器

永远避免使用root权限运行容器：

docker run -u 1001:1001 my-container

在Dockerfile中设置非root用户：

RUN groupadd -r appuser && useradd -r -g appuser appuser
USER appuser

2. 最小化容器镜像

使用Alpine等轻量级基础镜像：

FROM alpine:3.14

移除不必要的软件包：

RUN apk add --no-cache python3 && \
    rm -rf /var/cache/apk/*

二、高级安全防护策略

3. 配置Seccomp安全配置文件

创建自定义seccomp配置文件：

{
    "defaultAction": "SCMP_ACT_ERRNO",
    "syscalls": [
        {
            "name": "accept",
            "action": "SCMP_ACT_ALLOW"
        }
    ]
}

运行容器时应用配置：

docker run --security-opt seccomp=profile.json my-container

4. 启用AppArmor/SELinux

AppArmor配置示例：

# /etc/apparmor.d/containers/my_profile
profile my-container flags=(attach_disconnected) {
    # 允许规则
    /usr/bin/python ix,
    # 拒绝规则
    deny /etc/shadow rwklx,
}

三、运行时安全监控

5. 实施容器漏洞扫描

使用Trivy进行扫描：

trivy image my-image:latest

6. 网络隔离配置

创建自定义网络：

docker network create --driver bridge isolated_net

配置网络策略：

# Kubernetes NetworkPolicy示例
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: default-deny
spec:
  podSelector: {}
  policyTypes:
  - Ingress
  - Egress