当前位置：首页 > article >正文

Docker 容器隔离关键技术：SELinux

article 2024/12/4 1:17:54

Docker 容器隔离关键技术：SELinux

SELinux（Security-Enhanced Linux） 是 Linux 内核中的一项安全机制，用于实现强制访问控制（MAC）。Docker 利用了 SELinux 来增强容器的隔离性，通过对文件、进程、资源打标签并设置访问规则，防止容器之间以及容器与宿主机之间的资源越界访问。

在生产环境中，SELinux 是一项重要的隔离技术，但要注意，它并不孤立，还需要与**自主访问控制（DAC）**等机制一起协同工作。

什么是 SELinux？

通俗比喻

假设你是一家公司的管理员（宿主机），公司有许多员工（容器）在不同部门（进程）。这些员工在工作时需要访问资料（文件、资源）。为确保公司安全：

你给每位员工分发了钥匙（传统文件权限 DAC）。
但即使有钥匙，你还规定必须佩戴工牌（SELinux 标签）才能进入特定房间。
某些特别敏感的资料，只允许高级别员工访问（SELinux 规则定义）。

SELinux 就是这套“工牌+规则”系统：

钥匙（DAC）解决了“有权限才能尝试打开房间”。
工牌（SELinux）规定“即使有钥匙，也要有正确的工牌”。

SELinux 的作用

强制访问控制（MAC）：
- 即使容器通过了传统的权限检查（DAC，如读写权限），也必须符合 SELinux 的标签规则才能访问资源。
增强隔离性：
- 每个容器都有独立的标签，限制其只能访问指定资源，防止容器互相干扰或攻击宿主机。
控制挂载资源访问（Volume 独占挂载）：
- SELinux 会给挂载到容器中的 Volume 目录打上标签，确保容器只能访问自己的挂载点，防止越界访问。
限制特权容器的访问：
- SELinux 在非特权容器中生效，但对于特权容器（--privileged 模式），SELinux 会被禁用。

SELinux 与 DAC 的结合

什么是 DAC（自主访问控制）？

DAC（Discretionary Access Control） 是 Linux 的传统访问控制机制，基于用户、组、和文件权限（如 rw-r--r--）。
DAC 决定了哪些用户可以尝试访问资源（如读写文件）。

SELinux 和 DAC 的关系

DAC 是第一道检查：当容器访问资源时，DAC 首先检查该操作是否符合文件权限。
SELinux 是第二道检查：如果 DAC 允许，SELinux 会进一步检查访问是否符合标签规则。

比喻：

DAC 是钥匙：允许你尝试打开门。
SELinux 是工牌：即使你有钥匙，也必须有正确的工牌才能进入。

SELinux 的工作方式

SELinux 标签（安全上下文）
- 每个进程、文件、目录都会被打上一个 SELinux 标签，称为安全上下文（Security Context）。
- 安全上下文包含三个部分：用户、角色、类型。
```
system_u:object_r:container_file_t:s0
```
  - system_u：用户，表示系统用户。
  - object_r：角色，表示对象角色。
  - container_file_t：类型，表示该文件属于容器文件类型。
SELinux 策略
- SELinux 通过策略文件定义哪些进程可以访问哪些资源。例如：
  - container_t 类型的进程只能访问 container_file_t 类型的文件。
  - 非 container_t 类型进程无法访问这些资源。

SELinux 在 Docker 中的应用

1. 启用 SELinux

确保宿主机的 SELinux 功能已启用，可以通过以下命令查看：

getenforce

Enforcing：SELinux 正在强制执行规则。
Permissive：SELinux 仅记录违规行为，不阻止操作。
Disabled：SELinux 已禁用（不推荐）。

编辑 Docker 配置文件（/etc/docker/daemon.json），启用 SELinux 支持：

{
  "selinux-enabled": true
}

重启 Docker：

systemctl restart docker

2. 挂载资源的独占访问（Volume 独占挂载）

当容器挂载宿主机目录时，SELinux 会为挂载点打上独特标签，确保该目录只能被挂载的容器访问，其他容器无权访问。例如：

docker run -v /host/data:/data:Z -it ubuntu

:Z：告诉 Docker 设置 SELinux 标签，确保挂载点的安全。

3. 特权容器的限制

特权容器（Privileged Container） 是 Docker 中一种特殊模式，通过 --privileged 参数启动：

docker run --privileged -it ubuntu

特点：

特权容器绕过了所有 SELinux 限制，标签规则不会生效。
容器内的进程可以直接访问宿主机的所有设备和资源。

安全风险：

特权容器本质上等同于宿主机的 root 用户，任何漏洞都会危及宿主机安全。
建议仅在测试或特定需求场景中使用特权容器。

SELinux 的优点

细粒度控制：
- 通过标签和策略，严格限制容器的访问范围。
动态调整：
- 文件和进程标签根据任务动态分配，减少人为配置复杂性。
多层防护：
- 与 DAC、Capabilities、Seccomp 等机制结合，提供全面保护。

SELinux 的局限性

复杂性：
- 配置和调试 SELinux 规则需要一定的学习成本。
性能开销：
- 每次访问都需要检查标签规则，可能会稍微增加 I/O 开销。
特权容器绕过限制：
- 如果使用 --privileged 启动容器，SELinux 将完全失效。

SELinux 与其他隔离技术的对比

特性	SELinux	DAC	Seccomp	Capabilities
作用范围	文件、进程、网络等资源访问隔离	文件权限检查	系统调用限制	高权限操作限制
强制性	强制访问控制（MAC）	自主访问控制（用户可修改权限）	按系统调用进行白名单或黑名单过滤	限制特定权限
适用场景	防止容器间或容器与宿主机资源冲突	用户级文件操作管理	禁止危险的系统调用	禁用容器中的高风险操作