docker 如何避免宿主机访问容器内部文件

[xingyue]

镜像内有 ssl 证书之类的文件，不希望宿主机能够通过 docker exec 进入容器访问这些文件。

看文档已知有 Swarm 通过 docker secret 去管理，但是需要配置宿主机做主从。

请问在宿主机不可控的情况下有办法能避免宿主机随意访问容器内文件吗?

[ch2]

你的镜像只要被拿到了，文件一解压啥都能看见，根本不需要 exec

[MrGba2z]

你要的这个似乎可以用 aws 的 nitro enclaves 实现 docker 行不行就不知道了

[NilChan]

宿主 root 用户不是什么都能看到吗？容器又不是 vm 。

[kerro1990]

容器不过是个 chroot 环境，母鸡随时可以查看

[documentzhangx66]

防君子，搞点 OS 加密与磁盘分区加密。

但没有 TPM 、SecureBoot 等技术的加持，第三方掌握 OS 或物理硬件后，还能使用诸如内存提取、驱动注入等技术进行破解，虽然门槛不低。

[Tianao]

没用的，多租户环境下服务提供商连 ADC 设备物理安全模块（ HSM ）中的数据都可以访问。

[Mithril]

物理不可控就视为已经被破解就可以了，就不要考虑保护了。
除非你像游戏厂商用的那些专业的防破解程序，但就算是它们，也没法顶得住破解。
破解与自我保护从来就是个成本问题

[dingwen07]

既然你用着 GNU/Linux ，建议你看看 GNU 对“可信计算”的看法：
https://www.gnu.org/philosophy/can-you-trust.html

[Tink]

没有办法

[wangtuyi]

from scratch
然后添加自己的一个程序，资源文件存放在程序里

[gzlock]

可以在容器内的使用 run 命令启动程序后联网下载或者加密解压这些文件也算是个方案吧

[ETiV]

业务逻辑从远端直接读进内存？

[feather12315]

理论上只有同态加密可以搞定这玩意

[yidinghe]

容器内文件分为操作系统使用的和应用使用的，前者不需要加密，后者才有可能需要。对文件内容加密的技术不用多说，但密钥放哪呢，又不能直接放容器里，那就只能在应用启动时从网络下载了。

[nvkou]

运行时签发？

[xingyue]

@nvkou #15
@gzlock #11
和流程应该是无关的，只要以文件的形式存在了，访问的成本就极低

[Rheinmetal]

转发明文流量到自己控制的机器上做 ssl

[meiyoumingzi6]

没办法的, 文件本身就在宿主机上啊