如何为AWS ECS中Docker devicemapper分区设置nodev挂载选项

针对你遇到的安全扫描问题——给Docker devicemapper的挂载分区添加nodev选项，其实通过调整Docker守护进程的配置就能解决，具体步骤如下：

• 第一步：停止Docker服务
  在修改配置前，先停止运行中的Docker服务，避免配置冲突：

  # 适用于systemd系统（如Amazon Linux 2、Ubuntu 16.04+）
  sudo systemctl stop docker
  
  # 适用于旧版sysvinit系统
  sudo service docker stop
  

• 第二步：配置Docker守护进程的存储选项
  Docker的存储驱动配置在/etc/docker/daemon.json文件中，如果该文件不存在，直接创建即可。在文件中添加dm.mountopt参数来指定挂载选项：

  {
    "storage-driver": "devicemapper",
    "storage-opts": [
      "dm.mountopt=nodev"
    ]
  }
  

  简单解释：

  • storage-driver明确指定使用devicemapper（如果你的Docker已经默认用这个驱动，这行可留可省，但加上更稳妥）
  • dm.mountopt=nodev就是告诉devicemapper在挂载存储分区时加上nodev选项，禁止该挂载点下的设备文件被访问，完全符合安全团队的要求

• 第三步：重启Docker及ECS服务
  配置完成后，重启Docker服务让配置生效：

  sudo systemctl start docker
  # 旧系统可使用 sudo service docker start
  

  由于你是在AWS ECS环境下，别忘了重启ECS代理服务，确保它能重新连接Docker并正常管理容器：

  # Amazon Linux 2上的ECS代理重启命令
  sudo systemctl restart ecs
  

• 第四步：验证挂载选项是否生效
  最后用mount命令检查目标分区的挂载参数，确认nodev已经被添加：

  mount | grep /var/lib/docker/devicemapper/mnt/67c68922b781cc6481c1fcbabfa15db43f853df1cc0614d5a3142c0a40900698
  

  输出结果里如果包含nodev，说明配置成功。

注意事项 #

• 修改配置前建议备份/etc/docker/daemon.json，防止配置错误导致Docker无法启动
• 操作最好在业务低峰的维护窗口进行，避免影响正在运行的ECS容器
• 如果你的Docker之前没有使用devicemapper作为存储驱动，需要确认切换驱动的兼容性（不过既然扫描到的是devicemapper的分区，说明你已经在使用这个驱动了）

内容的提问来源于stack exchange，提问作者Maven Cheong