您如何知道公共Docker映像是安全的？

Question

我剛剛開始使用Docker，並且我看到在docker hub repository上有很多圖像可用。這似乎是建立一個新的碼頭集裝箱的正常方式是複製這些圖像中的一個並從那裏出發。但是，我怎麼知道這些容器中沒有惡意代碼，或者它們不會以其他方式危害我的安全？

例如，但我怎麼知道容器中的操作系統不是（例如）捕獲按鍵敲擊，或者爲了某種其他目的劫持系統資源？

Answer 1

標記爲「Trusted build」的圖像由Docker在其服務器上從用戶提供的源創建。您可以輕鬆檢查Dockerfile的位置，以查看惡意代碼。

您還有'官方'圖像（那些不以'somthing /'開頭的）由Docker正式支持。如果您信任Docker，inc，您可以信任這些圖像。

對於第三部分的圖像，不是來自可信版本而不是來自Docker，那麼您可以使用docker history <image>（在拉動它之後）檢查歷史記錄，看看它是如何構建的，但常識適用。它不可信。

碼頭工作的出處，所以我們應該很快會看到CA證書檢查和原產地證明。在此之前，只需要謹慎使用您檢查的可信任版本或官方圖像。