Quelltext der Seite Docker sicher betreiben - Rechte, Images und Secrets

Docker vereinfacht die Bereitstellung, erweitert aber die Angriffsfläche des Hosts. Besonders kritisch sind der Docker-Socket, privilegierte Container, unkontrollierte Images und Secrets in Compose-Dateien.

== Rechte und Docker-Socket ==

Zugriff auf <code>/var/run/docker.sock</code> beziehungsweise Mitgliedschaft in der Docker-Gruppe ermöglicht in einer üblichen Root-Docker-Installation sehr weitreichende Kontrolle über den Host. Gewähren Sie diesen Zugriff nur vertrauenswürdigen Administratoren.

Prüfen Sie Rootless Docker, wenn Anwendung, Ports, Dateisystem und Ressourcenverwaltung damit kompatibel sind. Rootless-Betrieb reduziert Risiken, ersetzt aber keine sichere Containerkonfiguration.

== Images auswählen ==

# Nutzen Sie offizielle oder nachvollziehbar gepflegte Images.
# Verwenden Sie konkrete, geprüfte Versionsstände.
# Lesen Sie Release- und Sicherheitshinweise.
# Entfernen Sie nicht benötigte Werkzeuge und Dienste.
# Führen Sie Anwendungen im Container möglichst nicht als Root aus.
# Prüfen Sie Images und Abhängigkeiten auf bekannte Schwachstellen.

== Gefährliche Freigaben vermeiden ==

* kein <code>--privileged</code> ohne zwingenden, dokumentierten Grund
* keine Einbindung des Host-Wurzelverzeichnisses
* Docker-Socket nicht in gewöhnliche Webcontainer einbinden
* nur benötigte Linux-Capabilities vergeben
* sensible Hostpfade möglichst nur lesend und minimal einbinden

== Secrets ==

Schreiben Sie Passwörter und Tokens nicht direkt in öffentlich geteilte Compose-Dateien, Image-Layer oder Git. Verwenden Sie eine geeignete Secret-Verwaltung oder restriktiv geschützte externe Dateien und rotieren Sie kompromittierte Werte.

== Verwandte Artikel ==

* [[Umgebungsvariablen, .env und Zugangsdaten schützen]]
* [[Docker - Netzwerke, Ports, Reverse Proxy und Firewall]]
* [[VServer und Root Server - Server kompromittiert - erste Maßnahmen]]

[[Category:Entwicklung und Deployment]]
[[Category:VServer und Root Server]]
[[Category:Sicherheit und Kontoschutz]]