如何限制Docker Daemon可绑定为卷的主机路径？兼顾Host网络模式需求

背景与问题 #

公司IT部门分为基础设施组与应用开发组：

• 基础设施组提供Linux服务器并负责维护，不向开发人员开放root权限，仅允许通过Docker CLI操作Docker Daemon启动容器。
• 开发组需使用Docker部署应用，且因性能要求必须使用Host网络模式。

当前架构存在风险：开发人员可通过容器绑定挂载主机root所属文件，以容器内root用户修改或删除这些文件，需规避该风险。此前尝试的用户命名空间、无root权限Docker安装方案均无法兼容Host网络模式，因此需要其他可行方案。

可行方案 #

方案一：Docker Daemon配置挂载路径白名单 #

通过Docker Daemon的配置限制仅允许挂载指定目录，完全阻断对敏感路径的访问，且不影响Host网络模式。

• 配置步骤：
  1. 编辑Docker Daemon配置文件/etc/docker/daemon.json，添加挂载白名单配置：

     {
       "mounts": {
         "allowedDirs": ["/opt/developer-volumes", "/var/lib/app-specific-data"]
       }
     }
     

     替换为实际允许开发人员使用的主机目录。
  2. 重启Docker Daemon使配置生效：

     systemctl restart docker
     

• 效果：开发人员仅能将白名单内的目录挂载到容器，无法访问/etc、/root等敏感路径。

方案二：目录隔离+容器运行权限控制 #

基础设施组预先创建专属开发目录并配置权限，结合容器运行参数降低风险：

• 操作步骤：
  1. 在主机上创建开发专属目录，如/opt/dev-projects，将目录权限分配给开发组对应的用户/用户组：

     mkdir -p /opt/dev-projects
     chown -R dev-group:dev-group /opt/dev-projects
     chmod -R 755 /opt/dev-projects
     

  2. 要求开发人员启动容器时，仅挂载该专属目录，同时指定非root用户运行容器：

     docker run --network host --user 1000:1000 -v /opt/dev-projects/app-data:/container-data my-app-image
     

  3. 可选添加安全参数防止权限提升：

     docker run --network host --user 1000:1000 --security-opt=no-new-privileges -v /opt/dev-projects/app-data:/container-data my-app-image
     

• 效果：容器内用户仅能操作主机专属目录内的文件，无法修改其他敏感路径。

方案三：基于Kubernetes的精细化管控 #

若具备容器编排条件，使用Kubernetes实现存储与网络的双重管控：

• 核心配置：
  1. 预先创建PersistentVolume（PV），关联主机上的安全开发目录，如：

     apiVersion: v1
     kind: PersistentVolume
     metadata:
       name: dev-pv
     spec:
       capacity:
         storage: 10Gi
       accessModes:
         - ReadWriteOnce
       hostPath:
         path: "/opt/dev-k8s-volumes"
     

  2. 开发人员通过PersistentVolumeClaim（PVC）申请存储，仅能使用预定义的PV资源。
  3. Pod配置中启用Host网络模式：

     apiVersion: v1
     kind: Pod
     metadata:
       name: dev-app-pod
     spec:
       hostNetwork: true
       containers:
       - name: app-container
         image: my-app-image
         volumeMounts:
         - name: dev-storage
           mountPath: /container-data
       volumes:
       - name: dev-storage
         persistentVolumeClaim:
           claimName: dev-pvc
     

• 效果：通过K8s的RBAC与资源管控，严格限制开发人员的存储访问范围，同时满足Host网络需求。

方案四：自定义Docker授权插件 #

若需要高度定制化的挂载规则，可开发Docker Authorization Plugin实现自定义权限校验：

• 实现思路：编写插件拦截Docker API请求，对挂载操作进行检查，仅允许符合规则的路径挂载。
• 优势：可根据业务需求灵活定义规则（如目录前缀校验、权限匹配等）；劣势：需要一定的开发与维护成本。

内容的提问来源于stack exchange，提问作者Irios