以下是Docker在Ubuntu上的安全設置要點：
- 用戶權限管理
- 避免以root用戶運行容器，使用
--user參數指定非特權用戶。
- 啟用用戶命名空間隔離，將容器用戶映射到宿主機非特權用戶。
- 系統級安全加固
- 定期更新系統和Docker軟件包，修復漏洞。
- 配置防火墻（如UFW）限制Docker相關端口（默認2375/2376）的訪問。
- 容器運行時安全
- 使用官方最小化基礎鏡像，減少攻擊面。
- 禁止特權容器（
--privileged），限制容器權限。
- 通過
--cap-drop移除不必要的Linux內核能力。
- 鏡像與數據安全
- 掃描鏡像漏洞（如使用Trivy、Clair）。
- 避免在容器中硬編碼敏感信息，使用Docker Secrets管理密鑰。
- 掛載主機目錄時，禁止訪問系統關鍵目錄（如
/boot、/etc）。
- 網絡隔離與加密
- 使用Docker自定義網絡隔離容器，避免默認橋接網絡的橫向攻擊風險。
- 啟用TLS加密守護進程與客戶端通信。
- 安全模塊集成
- 配置AppArmor或SELinux限制容器對宿主機資源的訪問。
- 監控與審計
- 啟用容器日志記錄，定期審計系統日志。
- 使用工具（如auditd）監控可疑活動。
參考來源：
