通過閱讀網上帖子以及欣賞相關新聞，各人大概會發生一種先入為主的印象，即Docker天生安詳性單薄且尚不敷以被直接引入出產情況。不外實際環境是，固然我們需要對容器安詳性加以高度存眷，但只要利用恰當，，其完全可以成為一套遠優于單獨利用虛擬機可能裸機的安詳、高效出產系統。
要安詳地利用Docker方案，各人首先需要相識其面臨的潛在安詳問題，并把握可以或許對基于容器之系統加以切實掩護的種種主要東西與技能。
各人還需要隨時緊記以下五個問題，并在操作Docker承載要害性任務應用措施的整個流程傍邊承襲這種審慎的立場。
內核裂痕
與虛擬機系統差異，全部容器及其主機利用的都是同一套共享內核，因此該內核中存在的任何安詳裂痕都有大概造成龐大影響。假如某套容器系統導致內核瓦解，那么這反過來又會造成整臺主機上的全部容器毀于一旦。在虛擬機傍邊，環境則要好得多：進攻者必需借路虛擬機內核與虛擬機打點措施之后，才有大概真正打仗到主機內核。
拒絕處事進攻
所有容器都共享同樣的內核資源。假如某套容器可以或許以獨有方法會見某些資源——包羅內存以及用戶ID等其它更為抽象化的資源——那么與其處于同一臺主機上的其它容器則很大概因資源匱乏而無法正常運轉。這正是拒絕處事進攻(簡稱DoS)的發生道理，即正當用戶無法對部門可能全部系統舉辦會見。
容器打破
可以或許會見某一容器的進攻者在原則上應該無法借此會見到其它容器可能主機。在默認環境下，用戶并不具備定名空間，因此游離于容器之外的任何歷程都將在主機之上得到與容器內溝通的執行權限; 而假如各人在容器內擁有root權限，那么在主機上亦將具備root身份。這意味著各人需要對這種潛在的權限晉升進攻做好籌備——這類進攻意味著用戶往往通過應用措施代碼中需要共同特別權限的bug實現權限晉升，從而使進攻者得到root可能其它級此外會見與哄騙本領。思量到容器技能今朝仍處于早期成長階段，因此我們在籌劃本身的安詳體系時，必需要將這種容器打破狀況思量在內。
含毒鏡像
那么我們要如何判定本身利用的鏡像是否安詳、是否存在改動可能其宣稱的來歷是否靠得住?假如進攻者誘導各人運行由其經心設計的鏡像，那么列位的主機與數據都將處于威脅之下。同樣的，各人還需要確保本身運行的鏡像為最新版本，且個中不包括任何存在已知安詳裂痕的軟件版本。
違規之秘
當容器面向某數據庫可能處事提倡會見時，其往往需要某種奧秘因素加以共同，譬喻API密鑰可能用戶名加暗碼。可以或許獲取這些奧秘因素的進攻者自然會將觸手伸向對應處事。這類問題在微處事架構傍邊往往更為嚴重，因為在此類情況內各容器會頻繁中止與啟動，因此受到的威脅遠高于一般而言運行周期更長且數據較少的虛擬機系統。
