精通 DevOps 工具与最佳实践 - DevOps 知识中心 精通 DevOps 工具与最佳实践 - DevOps 知识中心

加固Docker镜像并减少攻击面的最佳实践

通过使用非root用户、更小的基础镜像、多阶段构建、秘密处理和漏洞扫描来加固Docker镜像。

加固Docker镜像并减少攻击面的最佳实践

加固Docker镜像从一个简单的问题开始：这个镜像中包含了哪些你的应用实际上并不需要的东西？额外的用户、shell、包管理器、构建工具和泄露的秘密都会增加受损容器可能造成的损害。

在编写或审查Dockerfile时，尤其是在镜像到达共享注册表或生产集群之前，请使用这些实践。

以非root用户身份运行容器

最基本的安全原则之一是最小权限原则。默认情况下，Docker容器内的进程以root用户身份运行。这赋予了它们广泛的权限，如果容器被攻破，攻击者可以利用这些权限。以非root用户身份运行应用程序可以显著减少攻击者在容器内可能造成的潜在损害。

创建非root用户

你可以在Dockerfile中创建一个新的用户和组，然后在执行应用程序之前切换到该用户。

# 使用官方的Python运行时作为父镜像
FROM python:3.9-slim

# 设置工作目录
WORKDIR /app

# 将当前目录内容复制到容器的/app中
COPY . /app

# 安装requirements.txt中指定的任何所需包
RUN pip install --no-cache-dir -r requirements.txt

# 创建一个非root用户和组
RUN addgroup --system --gid 1001 appgroup && \
    adduser --system --uid 1001 --ingroup appgroup appuser

# 切换到非root用户
USER appuser

# 使端口80对外部可用
EXPOSE 80

# 定义环境变量
ENV NAME World

# 容器启动时运行app.py
CMD ["python", "app.py"]

非root用户的注意事项

  • 权限： 确保非root用户对应用程序所需的目录和文件具有必要的读写权限。你可能需要使用chown来正确设置所有权。
  • 端口绑定： 非root用户通常只能绑定到1024以上的端口。如果你的应用程序需要绑定到特权端口（例如80或443），请考虑使用在主机上运行或具有适当权限的另一个容器中运行的反向代理（如Nginx或Traefik），或者配置Linux capabilities。

最小化安装的包和依赖项

Docker镜像中安装的每个包都会增加其大小，更重要的是，增加其攻击面。每个包都可能存在攻击者可以利用的漏洞。因此，只包含绝对必要的内容至关重要。

包管理的最佳实践：

  • 使用最小基础镜像： 在适合你的运行时的情况下，考虑使用slim、distroless或基于Alpine的镜像。较小的镜像往往包含较少的包，但始终要测试兼容性，因为Alpine使用musl libc，其行为可能与Debian或Ubuntu镜像不同。
  • 安装后清理： 安装包后，清理所有包管理器缓存或临时文件。这不仅可以减小镜像大小，还可以消除攻击者的潜在暂存区域。
    # 基于Debian/Ubuntu的镜像示例
RUN apt-get update && apt-get install -y --no-install-recommends some-package && \
    rm -rf /var/lib/apt/lists/*

# 基于Alpine的镜像示例
RUN apk add --no-cache some-package
  • 多阶段构建： 这是一种保持最终镜像精简的强大技术。你使用一个阶段来构建应用程序（安装构建工具、编译器等等），然后使用第二个干净的阶段，只从构建阶段复制必要的工件。这可以防止构建依赖项最终出现在你的生产镜像中。
    # --- 构建阶段 ---
FROM golang:1.18-alpine AS builder
WORKDIR /app
COPY . .
RUN go build -o myapp

# --- 生产阶段 ---
FROM alpine:latest
WORKDIR /app
COPY --from=builder /app/myapp .
CMD ["./myapp"]
  • 定期更新依赖项： 保持你的应用程序依赖项和基础镜像为最新，以纳入安全补丁。

实施健壮的健康检查

健康检查对于监控容器的状态至关重要。Docker可以使用这些检查来确定容器是否正常运行，并自动重启或移除不健康的容器。一个定义良好的健康检查有助于确保你的应用程序不仅在运行，而且响应正常并按预期工作。

定义健康检查

Dockerfile中的HEALTHCHECK指令指定了一个命令，Docker将定期在容器内运行该命令以测试其健康状况。如果命令以非零状态退出，则认为容器不健康。

# Web应用程序示例
FROM nginx:latest

# ... 其他指令 ...

# 检查Nginx进程是否正在运行并监听80端口
HEALTHCHECK --interval=30s --timeout=3s --start-period=5s --retries=3 \
  CMD curl -f http://localhost:80/ || exit 1

# ... 其他指令 ...

健康检查的最佳实践：

  • 保持简单： 健康检查命令应该轻量且执行迅速。避免可能减慢检查速度或引入自身故障点的复杂逻辑。
  • 测试关键功能： 检查应该理想地测试应用程序的核心功能，而不仅仅是进程是否在运行。对于Web服务器，这可能意味着检查它是否能够响应基本的HTTP请求。
  • 配置start-period： 对于需要时间初始化的应用程序，使用start-period选项给它们时间启动，然后再开始健康检查失败。

安全管理秘密和敏感数据

切勿将API密钥、密码或证书等秘密直接嵌入到你的Dockerfile或镜像中。这些秘密将成为镜像层的一部分，并且很容易被发现。相反，对于敏感信息，请使用由你的编排平台（如Kubernetes或Docker Swarm）管理的Docker secrets或环境变量。

Swarm模式下的Docker Secrets

Docker Swarm提供了一种管理秘密的原生机制。你可以创建秘密并将它们作为文件挂载到容器中。

# 创建一个秘密
docker secret create my_api_key api_key.txt

# 部署一个使用该秘密的服务
docker service create --secret my_api_key my_web_app

谨慎使用环境变量

虽然环境变量很方便，但在检查正在运行的容器时（docker inspect），它们也是可见的。将它们用于非敏感的配置数据。对于敏感数据，首选Docker Secrets或外部秘密管理系统。

使用特定的镜像标签

在Dockerfile中引用基础镜像或其他镜像时（例如FROM ubuntu:latest），始终使用特定的版本标签，而不是latest。使用latest可能导致不可预测的构建，因为latest标签会随时间变化，可能会在您不知情的情况下引入破坏性更改甚至安全漏洞。

# 避免这样：
# FROM ubuntu:latest

# 首选这样：
FROM ubuntu:22.04

扫描镜像以查找漏洞

定期扫描你的Docker镜像以查找已知漏洞。有几种工具可以帮助你完成这项工作，无论是在你的CI/CD流水线中还是在你的注册表中。

流行的扫描工具

  • Trivy： 一个简单而全面的容器漏洞扫描器。它扫描操作系统包和应用程序依赖项。
    trivy image your-image-name:tag
  • Clair： 一个用于检测容器镜像中漏洞的开源静态分析工具。
  • Docker Scout： Docker的一项服务，用于分析容器镜像中的漏洞并提供建议。

将这些扫描集成到你的构建过程中，可以确保你在部署镜像之前了解并能够解决潜在的安全问题。

理解镜像层

Docker镜像是分层构建的。当你对Dockerfile进行更改时，会创建一个新层。理解层的工作原理可以帮助你优化Dockerfile的大小和安全性。将更改频率较低的指令（如安装基础包）放在Dockerfile的前面，将更改频率较高的指令（如复制应用程序代码）放在后面。这可以有效利用Docker的构建缓存，并可以加快构建速度。

更重要的是，对于安全性而言，早期层中的敏感信息或意外暴露可能会持续存在。确保任何敏感文件或命令的处理方式不会在不再需要时保留在最终镜像层中。

使加固成为常规操作

从交付到生产的Dockerfile开始。从最终镜像中移除构建工具，以非root用户身份运行，固定基础镜像，并扫描每次构建。然后将镜像加固视为正常代码审查的一部分，而不是一次性的清理工作。