Docker的--kernel-memory参数作用是什么？是否存在内核空间安全风险？

你的认知是正确的：Docker容器全程共享宿主机操作系统内核，--kernel-memory 参数并不代表容器有独立内核，而是限制单个容器可占用的宿主机内核空间内存配额。

容器为什么会占用宿主机内核内存？ #

容器内进程运行过程中，内核会响应进程的系统调用，在内核空间为这些进程分配、维护专属的运行相关结构，这部分内存开销会统计到对应容器的资源占用账单中，常见的占用场景包括：

• 容器内进程的内核态管理结构：比如进程描述符、页表、文件句柄表等
• 网络相关内核缓存：比如套接字缓冲区、TCP/IP栈相关的临时缓存
• 文件系统相关开销：比如容器挂载文件系统产生的元数据缓存、IO上下文结构
• 容器隔离组件的管理开销：比如cgroup、namespace本身的管理数据

设置--kernel-memory的设计原因 #

• 内核空间内存是宿主机的全局核心资源，一旦耗尽会直接导致宿主机崩溃、所有容器服务中断。如果没有单独的内核内存限制，恶意容器可以通过不断创建空进程、开启大量不释放的网络连接等操作，耗尽内核内存触发全局DoS故障。
• 常规的--memory参数只限制容器的用户态内存占用，不会统计内核空间的资源开销，单独设置--kernel-memory可以实现更精细化的资源管控，避免容器的内核态资源占用溢出影响整机稳定性。

相关机制是否存在安全风险？ #

你担心的“用户进程在内核空间分配内存”本身不存在安全漏洞：

• 用户进程没有权限直接访问、修改内核空间的内存，所谓的“分配”只是内核响应进程的合法系统调用时，自行在内核空间分配对应的管理结构，全程用户态进程无法直接操作这部分内存的内容。
• 只要宿主机内核本身没有可被利用的权限提升漏洞，这个资源统计限制机制就不存在安全问题。相反--kernel-memory本身就是安全加固特性，可以降低容器恶意消耗核心资源的风险。

内容的提问来源于stack exchange，提问作者Almas Abdrazak