在CentOS系統中，Docker的安全設置是非常重要的，因為它可以保護你的容器和主機系統不受惡意攻擊。以下是一些基本的Docker安全設置步驟：
更新Docker： 確保你的Docker版本是最新的，因為新版本通常包含安全修復。
sudo yum update docker
使用非root用戶運行Docker： 默認情況下，Docker守護進程以root用戶身份運行。你可以創建一個專門的用戶來運行Docker命令，以減少潛在的安全風險。
sudo usermod -aG docker ${USER}
然后注銷并重新登錄以使更改生效。
配置Docker守護進程：
編輯Docker守護進程的配置文件（通常是/etc/docker/daemon.json），添加或修改以下設置：
{
"exec-opts": ["native.cgroupdriver=systemd"],
"log-driver": "json-file",
"log-opts": {
"max-size": "100m"
},
"storage-driver": "overlay2",
"insecure-registries" : [],
"registry-mirrors": [],
"debug": false,
"experimental": false,
"features": {
"buildkit": true
}
}
這些設置包括使用systemd作為cgroup驅動程序，設置日志驅動程序和日志大小限制，選擇存儲驅動程序等。
限制容器的資源使用：
使用docker run命令的--cpus、--memory和--pids-limit選項來限制容器的資源使用。
docker run -it --cpus=1 --memory=512m --pids-limit=100 ubuntu
使用Docker Content Trust： 啟用Docker Content Trust（DCT）來確保你只拉取和運行經過驗證的鏡像。
export DOCKER_CONTENT_TRUST=1
配置防火墻：
使用firewalld或iptables來配置防火墻規則，只允許必要的端口和服務。
sudo firewall-cmd --permanent --zone=trusted --add-service=docker
sudo firewall-cmd --reload
使用SELinux： 如果你的系統啟用了SELinux，確保它被正確配置以支持Docker。
sudo setsebool -P docker_isolation 1
定期更新和掃描鏡像： 定期更新你的Docker鏡像，并使用工具如Clair、Anchore Engine或Trivy來掃描鏡像中的漏洞。
使用Docker Secrets： 對于敏感信息，如密碼和API密鑰，使用Docker Secrets來管理它們，而不是將它們硬編碼在鏡像中或作為環境變量傳遞。
監控和日志： 配置Docker以記錄詳細的日志，并使用監控工具來跟蹤容器的行為和性能。
請記住，安全是一個持續的過程，需要定期審查和更新你的安全設置。此外，根據你的具體需求和環境，可能還有其他的安全最佳實踐需要考慮。
