是否可以限制訪問lxc容器？

我想運行docker或LXC容器，但限制對容器本身的訪問。具體來說，甚至可以防止根（主機上的根）訪問容器嗎？從訪問，我的意思是SSH到容器，tcpdump tx/rx放入容器，分析應用程序等。是否可以限制訪問lxc容器？

謝謝！

2013-12-19 NetCubist

不可能有效地限制主機上的特權用戶檢查或訪問容器。如果是這樣的話，很難想象root用戶甚至可能首先啓動容器。

一般情況下，要記住，集裝箱被用來限制程序的有限空間是非常有用的。它是用來保持一個過程，從失控到主機，而不是防止其他進程中獲得

2013-12-19 06:27:33

一致認爲，集裝箱化本質上是包含脫離的過程。我想知道的是，是否可以在容器中使用某種訪問控制來限制訪問權限，包括來自特權用戶的權限。可以啓動/刪除容器，但我想限制訪問容器本身的內容以及傳入和傳出容器的數據。 – NetCubist

這真的不可行。通過這種方式來看：容器的整個文件系統可以被主機上的root用戶訪問。無論您使用何種保護措施，root用戶仍然可以在啓動它之前將文件插入容器（例如新的SSH密鑰），然後運行它。所有進出容器的數據都通過主機，這意味着超級用戶可以攔截它。我看不出有什麼辦法去做你想問的問題。 –

回答