Docker在CentOS上的权限设置有哪些

Docker在CentOS上的权限设置主要包括以下几类：

1. 用户与组权限管理

默认情况下，Docker守护进程以root身份运行，直接执行Docker命令需root权限。为方便非root用户使用，可通过创建docker组并添加用户实现权限下放：

• 创建docker组：使用sudo groupadd docker命令创建名为docker的系统组；
• 添加用户到docker组：将需要使用Docker的用户（如$USER或具体用户名）添加到docker组，命令为sudo usermod -aG docker USER（-aG表示追加到组，避免移除原有组）；
• 使变更生效：执行newgrp docker或重新登录用户，无需重启系统即可识别组权限；
• 重启Docker服务：部分场景需重启服务使组变更生效，命令为sudo systemctl restart docker。

2. 容器运行时权限控制

通过Docker命令参数限制或扩展容器权限，平衡功能需求与安全性：

• 指定运行用户：使用--user $UID:$GID参数让容器以宿主机指定用户/组身份运行（如docker run -d --user $(id -u):$(id -g) my-image），避免容器内进程拥有root权限；
• 特权模式：使用--privileged=true参数赋予容器几乎所有宿主机权限（如访问设备、修改内核参数），但会严重降低安全性，仅用于调试或特殊场景；
• 能力（Capability）管理：通过--cap-add添加容器所需的最小权限（如NET_ADMIN用于网络配置），或--cap-drop移除不必要的权限（如SYS_ADMIN），替代全特权模式，提升安全性。

3. SELinux配置（若启用）

SELinux是CentOS的强制访问控制模块，默认开启时会限制Docker容器对宿主机资源的访问，需通过以下方式调整：

• 启用SELinux：编辑/etc/selinux/config文件，确保SELINUX=enforcing（未注释）；
• 设置SELinux布尔值：使用setsebool命令调整相关策略，如允许容器访问宿主机的home目录（sudo setsebool -P docker_enable_home true）、允许容器访问网络（sudo setsebool -P httpd_can_network_connect 1）；
• 自定义SELinux策略：若容器操作被SELinux拒绝，可通过audit2allow工具生成自定义策略。例如，从/var/log/audit/audit.log中提取拒绝日志，执行grep docker /var/log/audit/audit.log | audit2allow -M mydocker生成策略模块，再用semodule -i mydocker.pp安装。

4. 防火墙限制

通过防火墙（firewalld或iptables）限制对Docker守护进程及容器的访问，防止未授权访问：

• firewalld配置：将Docker接口（docker0）添加到trusted区域（信任所有流量），命令为sudo firewall-cmd --permanent --zone=trusted --add-interface=docker0，然后重载防火墙（sudo firewall-cmd --reload）；
• iptables配置：允许特定端口（如Docker API端口2375）的访问，命令为sudo iptables -A INPUT -i docker0 -p tcp --dport 2375 -j ACCEPT，并保存规则（sudo service iptables save）。

5. Docker守护进程配置

通过修改/etc/docker/daemon.json文件调整守护进程行为，增强权限安全性：

• 限制API访问：默认仅允许本地通过Unix socket访问（unix:///var/run/docker.sock），若需远程访问，可添加tcp://0.0.0.0:2375，但需配合防火墙限制IP范围；
• 启用用户命名空间：添加"userns-remapping": "default"，将容器内root用户映射到宿主机非root用户，隔离容器与宿主机的权限，提升安全性；
• 其他配置：如设置日志驱动（"log-driver": "json-file"）、存储驱动（"storage-driver": "overlay2"）等，间接影响权限管理（如日志文件的访问权限）。

6. 定期更新维护

定期更新Docker守护进程、容器镜像及相关组件，修复已知安全漏洞，减少权限被滥用的风险：

• 更新Docker软件包：使用sudo yum update docker-ce docker-ce-cli containerd.io命令更新到最新版本；
• 更新容器镜像：通过docker pull imageName:latest拉取镜像最新版本，或在docker-compose.yml中指定镜像版本（如image: nginx:1.25-alpine）。