企业入门实战- - docker之docker安全设置
一.容器内存控制
创建自定义大小的容器
docker run -m 200M -d --name demo nginx
cd /sys/fs/cgroup/memory/docker/
进入 刚刚创建的id
cat memory.memsw.limit_in_bytes
设置内容写入大小
cd /sys/fs/cgroup/memory
mkdir x1
cd x1
echo 209715200 > memory.limit_in_bytes 限制写入大小为200M
安装cgroup工具
yum install -y libcgroup-tools.x86_
测试：在/dev/shm 目录下
每次测试前需要删除掉创建的bigfile
100M
free -m
cgexec -g memory:x1 dd if=/dev/zero of=bigfile bs=1M count=100
free -m
200M
free -m
cgexec -g memory:x1 dd if=/dev/zero of=bigfile bs=1M count=200
free -m
300M
ee -m
cgexec -g memory:x1 dd if=/dev/zero of=bigfile bs=1M count=300
free -m
这时候会发现多出来的100M被放到了swap分区中
关闭swap分区测试
cd /dev/shm
rm -fr bigfile
swapoff -a
cgexec -g memory:x1 dd if=/dev/zero of=bigfile bs=1M count=300 ## 会被kill掉
打开swap分区 设置容器swap不能写入
cd /sys/fs/cgroup/memory/x1
echo 209715200 > memory.memsw.limit_in_bytes ## 最大写入200M
测试：
cd /dev/shm
cgexec -g memory:x1 dd if=/dev/zero of=bigfile bs=1M count=300 ## 直接报错
虽然导入了300M但是只能写入200M
二.cpu配额
这里的虚拟机只有一个cpu
cd /sys/fs/cgroup/cpu ## 进入目录
mkdir x2
cd x2/
ls
设定cpu配额
cat cpu.shares
echo 100 > cpu.shares
dd if=/dev/zero of=/dev/null & ## 打入后台
top 查看dd的进程号
cat tasks
echo 14768 > tasks ## dd命令的进程号写入task中
再次运行此命令
dd if=/dev/zero of=/dev/null &
top
将第二个写入命令的进程号写入task文件中
cpu配额1024
cd /sys/fs/cgroup/cpu/x2/
echo 1024 > cpu.shares
cat cpu.share
echo 20000>cpu.cfs quota us
cat cpu.cfs_quota_us 配额
cat cpu.cfs_period_us 最大额度
top 查看两个dd命令的cpu占用额度
20000是100000的十分之一 所以两个dd进程共所占10%
三.Block IO
–device-write-bps限制写设备的bps
docker run -it --rm --device-write-bps /dev/vda:30MB rhel7 bash
bash-4.2# dd if=/dev/zero of=bigfile bs=1M count=200
200+0 records in
200+0 records out
209715200 bytes (210 MB) copied, 0.189837 s, 1.1 GB/s
bash-4.2# dd if=/dev/zero of=bigfile bs=1M count=200 oflag=direct
200+0 records in
200+0 records out
209715200 bytes (210 MB) copied, 6.82782 s, 30.7 MB/s
两个的再入速度不一样
四.docker安全加固
利用LXCFS增强docker容器隔离性和资源可见性
安装lxcf插件
yum install lxcfs-2.0.5-3.el7.centos.x86_64.rpm -y
lxcfs /var/lib/lxcfs/ &
ps ax
cd /var/lib/lxcfs/
ls
docker run -it -m 256m \
-v /var/lib/lxcfs/proc/cpuinfo:/proc/cpuinfo:rw \
-v /var/lib/lxcfs/proc/diskstats:/proc/diskstats:rw \
-v /var/lib/lxcfs/proc/meminfo:/proc/meminfo:rw \
-v /var/lib/lxcfs/proc/stat:/proc/stat:rw \
-v /var/lib/lxcfs/proc/swaps:/proc/swaps:rw \
-v /var/lib/lxcfs/proc/uptime:/proc/uptime:rw \
ubuntu
free -m
docker run -it --rm busyboxplus
ip addr
ip link set down eth0 会报没有权限
设置特权级运行的容器：–privileged=true 默认为false
docker run-it--rm--privileged busyboxplus 设置特权级运行的容器
ip link set down eth0
设置容器白名单：–cap-add
docker run -it --rm --cap-add=NET_ADMIN busyboxplus 添加容器运行白明单
ip addr
ip addr add 172.25.0.100/24 dev eth0
ip addr del 172.25.0.100/24 dev eth0
