以下是Docker在CentOS上的安全策略：
targeted模式，限制容器對宿主機的訪問權限。firewalld或通過iptables限制Docker API訪問。latest標簽，優先選擇精簡版（如alpine）。Trivy、Clair等工具檢測鏡像漏洞。--user參數指定。--cap-drop ALL關閉所有內核權限，僅添加必要權限（如--cap-add NET_BIND_SERVICE）。/proc、/sys等目錄，使用--read-only設置容器文件系統為只讀。--tlsverify啟用TLS加密，配置防火墻限制Docker API端口（默認2375/2376）。docker network create）隔離不同容器組。--cpus、--memory參數限制CPU和內存，避免單個容器占用過多資源。Seccomp限制系統調用，AppArmor定義容器行為策略。Docker Bench for Security腳本，驗證配置是否符合最佳實踐。參考來源：
