镜像内有 ssl 证书之类的文件，不希望宿主机能够通过 docker exec 进入容器访问这些文件。
看文档已知有 Swarm 通过 docker secret 去管理，但是需要配置宿主机做主从。
请问在宿主机不可控的情况下有办法能避免宿主机随意访问容器内文件吗?
This topic created in 1779 days ago, the information mentioned may be changed or developed.
Supplement 1 · Dec 20, 2021
谢谢各位的回复，仔细想了下，我这不是想去"小偷"家装防盗门么。。。。。
ps: ssl 证书只是举个例子，比如很多程序的配置文件这些都是不希望被看到的，从网络下载直接塞到内存里需要修改源程序逻辑，工作量太大也不太现实～
结帖：老老实实信官方文档，没有魔法～
ps: ssl 证书只是举个例子，比如很多程序的配置文件这些都是不希望被看到的，从网络下载直接塞到内存里需要修改源程序逻辑，工作量太大也不太现实～
结帖：老老实实信官方文档，没有魔法～
 |
ch2Dec 19, 2021
1
你的镜像只要被拿到了，文件一解压啥都能看见，根本不需要 exec
|
 |
v2gbaDec 19, 2021
2
你要的这个似乎可以用 aws 的 nitro enclaves 实现 docker 行不行就不知道了
|
 |
NilChanDec 19, 2021 via Android
3
宿主 root 用户不是什么都能看到吗？容器又不是 vm 。
|
 |
4
容器不过是个 chroot 环境，母鸡随时可以查看
|
1 |
5
防君子，搞点 OS 加密与磁盘分区加密。
但没有 TPM 、SecureBoot 等技术的加持，第三方掌握 OS 或物理硬件后，还能使用诸如内存提取、驱动注入等技术进行破解，虽然门槛不低。 |
 |
TianaoDec 19, 2021
6
没用的，多租户环境下服务提供商连 ADC 设备物理安全模块（ HSM ）中的数据都可以访问。
|
 |
7
物理不可控就视为已经被破解就可以了，就不要考虑保护了。
除非你像游戏厂商用的那些专业的防破解程序，但就算是它们，也没法顶得住破解。 破解与自我保护从来就是个成本问题 |
 |
8
既然你用着 GNU/Linux ，建议你看看 GNU 对“可信计算”的看法：
https://www.gnu.org/philosophy/can-you-trust.html |
 |
TinkDec 19, 2021 via Android
9
没有办法
|
 |
10
from scratch
然后添加自己的一个程序，资源文件存放在程序里 |
 |
gzlockDec 19, 2021
11
可以在容器内的使用 run 命令启动程序后联网下载或者加密解压这些文件也算是个方案吧
|
 |
ETiVDec 19, 2021
12
业务逻辑从远端直接读进内存？
|
 |
feather12315Dec 19, 2021 via Android
13
理论上只有同态加密可以搞定这玩意
|
 |
14
容器内文件分为操作系统使用的和应用使用的，前者不需要加密，后者才有可能需要。对文件内容加密的技术不用多说，但密钥放哪呢，又不能直接放容器里，那就只能在应用启动时从网络下载了。
|
 |
nvkouDec 20, 2021 via iPhone
15
运行时签发？
|
 |
RheinmetalDec 20, 2021
17
转发明文流量到自己控制的机器上做 ssl
|
 |
meiyoumingzi6Dec 20, 2021
18
没办法的, 文件本身就在宿主机上啊
|
Select Language