Что такое Docker Rootless режим и зачем он нужен для повышения безопасности?

По умолчанию демон Docker и все запущенные в нем контейнеры управляются от имени привилегированного суперпользователя root на хостовой машине. Это создает серьезные риски безопасности, так как потенциальный злоумышленник при побеге из контейнера получает полный контроль над всей операционной системой сервера. Режим Rootless был создан для устранения этой уязвимости.

Rootless-режим позволяет запускать как демон Docker, так и сами контейнеры от имени обычного непривилегированного пользователя без прав root. Для этого используются пространства имен ядра Linux, которые изолируют процессы и ресурсы. Даже если приложение внутри контейнера скомпрометировано, у атакующего не будет административного доступа к хосту.

Переход на этот режим требует выполнения определенных предварительных системных настроек. Администратору необходимо настроить сабмиграцию идентификаторов пользователей и убедиться, что ядро поддерживает необходимые функции. После установки утилиты настройки демон запускается как пользовательская служба системы инициализации.

Стоит отметить некоторые ограничения, с которыми можно столкнуться при использовании Rootless-режима. Например, контейнеры не могут занимать стандартные привилегированные сетевые порты ниже номера тысяча без дополнительной настройки. Также могут возникнуть особенности при работе с некоторыми специфическими типами сетевых мостов и хранилищами данных.

Тем не менее, для продакшн-окружений с повышенными требованиями к защищенности данных использование Docker в Rootless-режиме является отличной практикой. Это позволяет существенно снизить потенциальный ущерб от возможных кибератак и уязвимостей нулевого дня в программном обеспечении.