| 风险面 | 全部 capabilities + 设备访问 + 关闭 seccomp/apparmor |
|---|---|
| 替代 | --cap-add 单项 / --device 指定设备 / --security-opt 精确放开 |
| 检查 | inspect 的 Privileged 字段 |
示例
示例
docker ps -q | xargs -r docker inspect -f '{{.Name}} privileged={{.HostConfig.Privileged}}'
# 需要内核级操作的场景先把需求拆到最小
docker run --rm --cap-add=NET_ADMIN --device=/dev/net/tun alpine true能说清为什么需要特权、需要哪些具体能力，是把特权容器替换为最小授权配置的起点。