| 默认状态 | CPU 无上限、内存无上限 |
|---|---|
| 风险 | 单容器故障放大为整机故障 |
| 基线 | 内存硬限 + CPU 配额 + PID 上限 |
示例
示例
# 查看运行容器当前是否设置了限制
docker inspect -f '{{.Name}} mem={{.HostConfig.Memory}} cpu={{.HostConfig.NanoCpus}}' $(docker ps -q)限制从粗到细逐层加：先给出内存与 CPU 上限，再按压测结果微调，避免一次性定得过死。
本包目录（366 条）
基础命令50 条镜像与构建107 条网络与存储52 条Compose 编排55 条
资源与安全50 条
- docker run --memory 内存硬限制
- docker run --cpus 限制 CPU
- 容器内使用非 root 用户运行
- 用 docker stats 验证限额生效
- 容器 OOM 的识别与处理
- daemon.json 常用加固项
- 容器默认没有资源限制
- --privileged 的影响与替代方案
- 内核能力收敛 --cap-drop / --cap-add
- 加固运行基线组合命令
- docker update 动态调整资源限制
- 挂载 docker.sock 的风险与控制
- 环境变量传密钥的泄露面
- docker run --pids-limit 限制进程数
- seccomp 系统调用过滤
- 批量审计高危容器配置
- inspect 核对容器资源限额
- 只读根文件系统 --read-only
- docker run --ulimit 设置进程资源上限
- 按 digest 固定部署镜像
- 禁止权限提升 no-new-privileges
- 远程 API 暴露与 TLS 保护
- docker run --cap-add 精细补能力
- docker scout 官方漏洞扫描
- docker run --cpuset-cpus 绑定 CPU 核
- 用户命名空间映射 userns-remap
- docker 组成员等效 root 的审计
- Trivy 镜像漏洞扫描
- docker run --cpu-shares 相对权重
- rootless 模式运行 Docker
- docker run --memory-reservation 内存软限制
- 确认 cgroup 版本与驱动
- AppArmor 与容器配置校验
- docker run --shm-size 调整共享内存
- docker run --memory-swap 交换空间控制
- --pid=host 等宿主命名空间审计
- 用 socket 代理收敛 Docker API
- Falco 运行时行为检测
- docker run --oom-score-adj 调整 OOM 优先级
- cosign 镜像签名验证
- docker run --cpu-period / --cpu-quota 精确配额
- 容器 swap 倾向 --memory-swappiness
- docker run --device 最小设备授权
- Docker Bench 基线自查
- docker run --blkio-weight 块 IO 权重
- docker run --sysctl 内核参数（白名单）
- 容器内 sudo 的检查与清理
- SELinux 卷标签 :z 与 :Z
- 凭据助手 credential helper
- docker run --cgroup-parent 指定父 cgroup
容器默认没有资源限制
容器默认可使用宿主全部 CPU 与内存：不显式限制时，单个异常进程就可能拖垮整机，上线前应按服务画像设置限制基线。
易错点
- 测试环境不限、生产突然限死是常见翻车路径，两个环境尽早保持一致
- 限内存后应用堆参数没同步调整，运行时被 OOM 杀掉且日志无异常
数据来源与参考
- Docker 官方文档：Runtime options with Memory, CPUs, and GPUs（docs.docker.com）