Ubuntu SELinux如何与Docker集成 - 问答

Ubuntu SELinux（Security-Enhanced Linux）是一种内核安全模块，它提供了强制访问控制（MAC）功能，以增强系统的安全性。Docker 是一个流行的容器化平台，允许开发者打包和运行应用程序及其依赖项。在 Ubuntu 上，Docker 默认使用 AppArmor 或 SELinux 来提供额外的安全层。

要在 Ubuntu 上将 SELinux 与 Docker 集成，你需要执行以下步骤：

安装 SELinux：如果你的 Ubuntu 系统还没有安装 SELinux，你可以使用以下命令来安装它：
```
sudo apt-get update
sudo apt-get install selinux-basics selinux-policy-default
```
配置 SELinux：安装完成后，你需要配置 SELinux 以允许 Docker 运行。这通常涉及到编辑 /etc/selinux/config 文件，并将 SELINUX 设置为 enforcing 或 permissive。在 enforcing 模式下，SELinux 将强制执行安全策略，而在 permissive 模式下，它只会记录违反策略的行为。
```
sudo nano /etc/selinux/config
```
将以下行：
```
SELINUX=disabled
```
更改为：
```
SELINUX=enforcing
```
保存并关闭文件。然后重启系统以使更改生效。
安装 Docker SELinux 集成： Docker 通常包含一个名为 docker-selinux 的包，它提供了与 SELinux 集成的必要文件。你可以使用以下命令来安装它：
```
sudo apt-get install docker-selinux
```
配置 Docker 守护进程：你需要确保 Docker 守护进程（dockerd）以正确的方式启动，并且 SELinux 策略允许它运行。这通常涉及到创建或修改 /etc/docker/daemon.json 文件，以包含 SELinux 相关的配置。
```
sudo nano /etc/docker/daemon.json
```
添加以下内容：
```
{
  "selinux-enabled": true,
  "log-driver": "json-file",
  "log-opts": {
    "max-size": "100m"
  },
  "exec-opts": ["native.cgroupdriver=systemd"]
}
```
保存并关闭文件。然后重启 Docker 服务：
```
sudo systemctl restart docker
```
验证 SELinux 集成：你可以使用 getenforce 命令来检查 SELinux 的当前状态：
```
getenforce
```
如果输出是 Enforcing，则表示 SELinux 正在强制执行策略。
测试 Docker 容器：运行一个测试容器来确保 SELinux 策略不会阻止 Docker 的正常操作：
```
sudo docker run hello-world
```
如果容器成功运行并显示欢迎消息，那么 SELinux 已经正确集成到 Docker 中。

请注意，SELinux 策略可能会非常复杂，并且可能需要根据你的具体需求进行调整。如果你遇到与 SELinux 相关的问题，你可能需要查看相关的日志文件（如 /var/log/audit/audit.log）来获取更多信息，并根据需要调整策略。

0 赞

0 踩