docker容器技術(shù)的缺點(diǎn)

docker容器技術(shù)的缺點(diǎn)是什么？隨著(zhù)日益完善的docker容器技術(shù)生態(tài)鏈，使得當下企業(yè)逐漸實(shí)現容器化的業(yè)務(wù)部署，容器化已成為未來(lái)的發(fā)展趨勢。但Docker容器化并不是沒(méi)有缺點(diǎn)，還存在一些可優(yōu)化的地方。

內核漏洞

Docker內核攻擊對于容器化環(huán)境來(lái)說(shuō)可能是致命性的，因為容器與主機共享相同的系統內核，因此單獨信任容器內置保護機制是不夠的。

容器的隔離性使得某個(gè)應用程序的漏洞不會(huì )直接影響到其他容器的應用程序，但是漏洞可能會(huì )破壞與其他容器所共享的單一的操作系統，進(jìn)而影響機器上的其他容器。如果漏洞允許代碼執行，那么它將在主機操作系統上執行，而不是在容器內執行；如果此漏洞允許任意內存訪(fǎng)問(wèn)，則攻擊者可以更改或讀取任何其他容器的任何數據。

數據分離

在docker容器上，有一些非命名空間的資源：

SELinux
Cgroups
file systems under /sys, /proc/sys,
/proc/sysrq-trigger, /proc/irq, /proc/bus
/dev/mem, /dev/sd* file system
Kernel Modules

如果攻擊者可以利用當中的任意一個(gè)元素，都將擁有主機系統的操作權限。

資源開(kāi)銷(xiāo)

Docker由于宿主機上的所有容器是共享相同的內核和相同的資源，如果對某些資源（CPU、內存、磁盤(pán)等）的訪(fǎng)問(wèn)不受限制，那么異常的容器將占用整個(gè)宿主機的資源，從而影響其他容器的運行，影響應用程序。

套接字問(wèn)題

容器在默認情況下都安裝了docker Unix套接字（/var/run/docker.sock），此套接字，可以關(guān)閉、啟動(dòng)或者創(chuàng )建新的鏡像。

當你的容器啟動(dòng)并共享套接字的時(shí)候，你就給了容器操控宿主機的權限，它將可以啟動(dòng)或終止其它容器，在宿主機拖入或創(chuàng )建鏡像，甚至寫(xiě)入到宿主機的文件系統。正確配置和保護，可以使用docker容器實(shí)現高級別的安全性，但它的安全性還是低于正確配置的VM。

文章參考來(lái)源：頭條號老王談運維

雖然，Docker容器還不算完美，但是瑕不掩瑜，它使得業(yè)務(wù)的上云部署更快，資源利用更高。并且云服務(wù)商也在不斷完善Docker容器技術(shù)在云服務(wù)平臺的應用。

特網(wǎng)科技的容器云產(chǎn)品是通過(guò)docker技術(shù)，在云計算集群服務(wù)器上部署容器云服務(wù)實(shí)現，安全可靠，功能強大，可自由選擇網(wǎng)絡(luò )計費方式，可作集群服務(wù)，自由搭建私有網(wǎng)絡(luò )。

高性?xún)r(jià)比的容器云產(chǎn)品鏈接 http://wap.friendlycc.com.cn/host/