Docker sicher betreiben - Rechte, Images und Secrets
Docker vereinfacht die Bereitstellung, erweitert aber die Angriffsfläche des Hosts. Besonders kritisch sind der Docker-Socket, privilegierte Container, unkontrollierte Images und Secrets in Compose-Dateien.
Inhaltsverzeichnis
Rechte und Docker-Socket
Zugriff auf /var/run/docker.sock beziehungsweise Mitgliedschaft in der Docker-Gruppe ermöglicht in einer üblichen Root-Docker-Installation sehr weitreichende Kontrolle über den Host. Gewähren Sie diesen Zugriff nur vertrauenswürdigen Administratoren.
Prüfen Sie Rootless Docker, wenn Anwendung, Ports, Dateisystem und Ressourcenverwaltung damit kompatibel sind. Rootless-Betrieb reduziert Risiken, ersetzt aber keine sichere Containerkonfiguration.
Images auswählen
- Nutzen Sie offizielle oder nachvollziehbar gepflegte Images.
- Verwenden Sie konkrete, geprüfte Versionsstände.
- Lesen Sie Release- und Sicherheitshinweise.
- Entfernen Sie nicht benötigte Werkzeuge und Dienste.
- Führen Sie Anwendungen im Container möglichst nicht als Root aus.
- Prüfen Sie Images und Abhängigkeiten auf bekannte Schwachstellen.
Gefährliche Freigaben vermeiden
- kein
--privilegedohne zwingenden, dokumentierten Grund - keine Einbindung des Host-Wurzelverzeichnisses
- Docker-Socket nicht in gewöhnliche Webcontainer einbinden
- nur benötigte Linux-Capabilities vergeben
- sensible Hostpfade möglichst nur lesend und minimal einbinden
Secrets
Schreiben Sie Passwörter und Tokens nicht direkt in öffentlich geteilte Compose-Dateien, Image-Layer oder Git. Verwenden Sie eine geeignete Secret-Verwaltung oder restriktiv geschützte externe Dateien und rotieren Sie kompromittierte Werte.
