| 语义 | 容器进程与宿主同 PID 视图 |
|---|---|
| 风险 | 可见宿主进程、可发信号、调试面扩大 |
| 替代 | 宿主侧诊断工具或受控的临机容器 |
示例
示例
docker ps -q | xargs -r docker inspect -f '{{.Name}} pid={{.HostConfig.PidMode}} ipc={{.HostConfig.IpcMode}} uts={{.HostConfig.UTSMode}}'诊断场景确实要用时，限定专人、限定时长、限定镜像，用完即删。
本包目录（366 条）
基础命令50 条镜像与构建107 条网络与存储52 条Compose 编排55 条
资源与安全50 条
- docker run --memory 内存硬限制
- docker run --cpus 限制 CPU
- 容器内使用非 root 用户运行
- 用 docker stats 验证限额生效
- 容器 OOM 的识别与处理
- daemon.json 常用加固项
- 容器默认没有资源限制
- --privileged 的影响与替代方案
- 内核能力收敛 --cap-drop / --cap-add
- 加固运行基线组合命令
- docker update 动态调整资源限制
- 挂载 docker.sock 的风险与控制
- 环境变量传密钥的泄露面
- docker run --pids-limit 限制进程数
- seccomp 系统调用过滤
- 批量审计高危容器配置
- inspect 核对容器资源限额
- 只读根文件系统 --read-only
- docker run --ulimit 设置进程资源上限
- 按 digest 固定部署镜像
- 禁止权限提升 no-new-privileges
- 远程 API 暴露与 TLS 保护
- docker run --cap-add 精细补能力
- docker scout 官方漏洞扫描
- docker run --cpuset-cpus 绑定 CPU 核
- 用户命名空间映射 userns-remap
- docker 组成员等效 root 的审计
- Trivy 镜像漏洞扫描
- docker run --cpu-shares 相对权重
- rootless 模式运行 Docker
- docker run --memory-reservation 内存软限制
- 确认 cgroup 版本与驱动
- AppArmor 与容器配置校验
- docker run --shm-size 调整共享内存
- docker run --memory-swap 交换空间控制
- --pid=host 等宿主命名空间审计
- 用 socket 代理收敛 Docker API
- Falco 运行时行为检测
- docker run --oom-score-adj 调整 OOM 优先级
- cosign 镜像签名验证
- docker run --cpu-period / --cpu-quota 精确配额
- 容器 swap 倾向 --memory-swappiness
- docker run --device 最小设备授权
- Docker Bench 基线自查
- docker run --blkio-weight 块 IO 权重
- docker run --sysctl 内核参数（白名单）
- 容器内 sudo 的检查与清理
- SELinux 卷标签 :z 与 :Z
- 凭据助手 credential helper
- docker run --cgroup-parent 指定父 cgroup
--pid=host 等宿主命名空间审计
共享宿主命名空间的容器不再是隔离单元：--pid=host 可看到并影响宿主进程，--ipc=host、--uts=host 同理，默认应保持各命名空间独立。
易错点
- 与 privileged 叠加时权限面明显扩大，审计时按组合项而不是单项看待
- 迁移或升级后这些参数常从复制粘贴模板带进来，属于模板级隐患
数据来源与参考
- Docker 官方文档：Namespaces（docs.docker.com/engine/security）