Ubuntu/WSL环境下Docker命令及高危参数权限限制咨询

仅靠传统Unix文件权限无法实现你要的子命令、参数级别的拦截粒度——默认只要把用户加入docker组，该用户就等价于拥有宿主机root权限，完全不符合合规要求。要实现非管理员用户仅能使用必要Docker操作、无法篡改配置的目标，需要三层机制组合落地：

一、基础Unix权限锁死底层入口 #

• 清空docker用户组内的所有普通用户，默认禁止任何非root进程直接访问/var/run/docker.sock套接字，从入口切断普通用户直连Docker daemon的路径。
• WSL环境额外加固：编辑/etc/wsl.conf配置[user] default=你的普通业务用户名，把WSL默认登录用户设为受限普通用户；修改sudoers规则，禁止普通用户免密切换root、修改Docker相关配置文件。
• 所有Docker核心配置（/etc/docker/daemon.json、预部署的容器编排文件、Docker存储目录下的网络/卷元数据）全部设置属主为root，目录权限设为755、文件权限设为644，普通用户无写入权限。

二、通过Docker授权插件实现细粒度操作拦截 #

这部分是管控高危命令、参数的核心，用Docker原生支持的授权插件机制即可实现，不需要修改Docker源码：

• 部署授权插件（可选authz插件、OPA对接Docker的授权插件），插件会在所有Docker请求送达daemon前做规则校验，可实现的管控粒度包括：
  • 命令白名单：仅放行工作必需的操作，比如查看指定容器日志、重启预部署的固定名称容器，直接拦截docker network create、docker volume rm、docker run任意镜像这类未授权操作。
  • 参数拦截：所有携带--privileged、--cap-add=SYS_ADMIN、--net=host、--pid=host、--mount挂载宿主机敏感路径（如/、/etc、/var/run/docker.sock）的容器启动/修改请求直接拒绝。
  • 资源范围限制：仅允许用户操作提前部署完成、打了固定合规标签的容器/镜像，禁止拉取外部未知镜像、修改已运行容器的配置。
• 插件的规则配置文件设置为root只读，普通用户无法篡改校验逻辑。

三、命令入口封装做二次校验 #

• 移除普通用户对原生docker客户端二进制的执行权限，把允许普通用户使用的Docker操作封装成root属主的shell脚本，给脚本加setuid位，普通用户仅能通过封装好的脚本执行允许的操作。脚本内提前写死允许操作的容器ID/名称、固定参数，不接收未做校验的用户自定义输入。
• 举个最小化封装示例，仅允许普通用户查看原型业务容器的最新日志：

#!/bin/bash
# 存储路径/usr/local/bin/check-prototype-log，属主root:root，权限4755
ALLOWED_CONTAINER="prototype-service-v1"
/usr/bin/docker logs --tail 200 -f $ALLOWED_CONTAINER

合规校验点 #

全部配置完成后逐项验证，确认管控生效：

• 普通用户直接执行原生docker命令会返回套接字访问权限错误
• 尝试通过封装入口执行高危命令、传入高危参数时，会被授权插件直接拦截返回无权限
• 所有配置文件、规则文件、封装脚本普通用户均无修改权限
• WSL层面普通用户无法通过任意提权路径切换root修改系统配置

内容的提问来源于stack exchange，提问作者NickHayMan