容器安全之启用实时恢复

描述

live-restore参数可以支持无守护程序的容器运行。
它确保Docker在关闭或恢复时不会停止容器，并在重新启动后重新连接到容器。

隐患分析

可用性作为安全一个重要的属性。 在Docker守护进程中设置--live-restore标志可确保当Docker守护进程不可用时容器执行不会中断。
这也意味着当更新和修复Docker守护进程而不会导致容器停止工作。

审计方式

[root@localhost ~]# docker info --format '{{.LiveRestoreEnabled}}'
false

修复建议

编辑文件

$ mkdir -p /etc/docker/
$ vi /etc/docker/daemon.json

添加如下内容

"live-restore": true

重载服务

$ systemctl daemon-reload
$ systemctl restart docker

参考文档

• Docker容器最佳安全实践白皮书（V1.0）
• Docker官方文档