不向特定用户显示所有Docker容器

43次阅读

问题描述

希望在一台服务器上托管多个Docker容器，并且想要给另一个用户管理新的Docker容器的权限，但又不希望将其访问权限扩展到所有由用户启动的容器，因为这些容器可能包含敏感数据。用户询问是否有一种安全的配置方式，不需要创建虚拟机，来实现这一目标。

解决方案

请注意以下操作可能涉及版本差异，建议在操作前备份数据。

使用Docker的RBAC和Kubernetes的RBAC

使用Docker引擎的Role-Based Access Control (RBAC) 需要Docker EE（企业版）并使用其提供的 Universal Control Pane（UCP）。
有一个免费的替代方案，可以使用Kubernetes的 rbac.authorization.k8s.io 模块来实现类似的访问控制。
注意：为了控制用户可用的Docker命令，可以使用Docker引擎的 AuthZPlugin （有一些开源实现）。
关于Docker EE的价格可能不适合某些用户，可以考虑免费的Kubernetes RBAC方案。

Docker RBAC示例

使用Docker EE的RBAC功能，你可以创建适合你需求的角色。
以下是一个简单示例，假设我们有两个容器，一个是敏感数据的容器（sensitive-container），另一个是普通容器（normal-container）。
创建一个名为 sensitive-role 的角色，并将其绑定到 sensitive-container，然后将其绑定到指定的用户。
这样，用户将只能管理 sensitive-container，而不能访问其他容器。
RBAC示例的具体配置可能因Docker EE版本和具体需求而有所不同，请参考Docker EE的官方文档。

Kubernetes RBAC示例

使用Kubernetes的 rbac.authorization.k8s.io 模块，你可以创建自定义角色和角色绑定。
首先，你需要安装和配置Kubernetes，然后创建一个自定义角色，例如 sensitive-role。
然后，将该角色绑定到特定的用户，这样用户将只能访问被授权的容器。
请参考Kubernetes官方文档以及你所使用的Kubernetes版本的RBAC设置。

其他方法

如果以上的RBAC方案不适用或者不满足你的需求，你可以考虑编写自定义脚本或使用第三方工具来控制容器的访问。一个可能的方法是编写一个脚本，用于启动特定的容器，并为其他用户提供访问权限的脚本。
请注意，使用脚本管理访问可能会增加复杂性，需要确保你的安全措施和依赖关系的正确设置。此外，了解Docker和Kubernetes的最新版本以及相关的安全更新也是非常重要的。

Docker AuthZPlugin

注意：这是一种高级配置，涉及到Docker的扩展和插件。请谨慎操作，并在操作前备份数据。
1. 使用Docker的 AuthZPlugin 可以控制用户可以执行的Docker命令。
2. 你可以编写一个自定义的 AuthZPlugin 插件，以根据用户的权限来限制他们对特定容器的访问。
3. 了解Docker引擎的插件扩展机制，然后根据你的需求编写和配置自定义的 AuthZPlugin。
4. 请注意，这需要对Docker引擎的插件系统有深入的了解，并且需要适当的测试和部署过程。
5. 在操作之前，请查阅Docker官方文档以及相关的插件开发和配置指南。