RedHat/CentOS Dockerのホストルートアクセスをコンテナ内から防ぐことはできますか？

Question

私は、非rootユーザーアカウントを使用してログインするために、最小のCentOS/RedHat VMをスタッフに提供したいと考えています。私は、ソケットをchgrpingしてドッカーグループにアカウントを追加することで、ドッカー1.12 cliコマンドを実行するためのドッカーソケットをユーザーに提供しました。

TCP APIとこの問題のすべてのCaaS/PaaS製品をVM上に残すと仮定すると、SELinuxを使用して、seccompやLinuxの機能やGRSec/PAXを含む何かを操作することは可能ですか？ Dockerコンテナを使用してDockerホスト上のrootユーザーにアクセスできないようにしますか？

This postは確定していないようです。

Answer 1

ホストのDockerソケットをコンテナに公開している場合は、本質的にホストにroot権限を与えています。

コンテナ内に隔離されたDocker環境を提供する場合は、Docker-in-Dockerを使用する必要があります。 docker imageのタグ付き画像dindをご覧ください。これはPlay with Dockerの仕組みです。