Docker

325

13.7　セキュリティに関する tips

find / -perm +6000 -type f -exec ls -ld {} \; 2> /dev/null | wc -l

0

$

アプリケーションよりは、

Dockerfile

が

setuid/setgid

されたバイナリに依存していることのほ

うが多いでしょう。従って、そういった呼び出しを済ませたあと、スクリプトの終わり近くで、

ユーザーを変更する前なら（アプリケーションが

root

権限で動作するなら、

setuid

バイナリを削

除しても意味がありません）、このステップはどこで実行してもかまいません。

13.7.4

　メモリの制限

メモリを制限することで、

DoS

攻撃や、ホストの全メモリをゆっくりと消費していってしまう

ようなメモリリークを持つアプリケーション（こういったアプリケションは、サービスのレベルを

保つために自動的に再起動するという方法があります）に対する防御ができます。

-m

及び

--memory-swap

フラグを

docker run

に渡せば、コンテナが使用できるメモリの量とス

ワップメモリの量を制限できます。やや混乱しがちですが、

--memory-swap

は、メモリの合計量、

すなわちスワップメモリだけの量ではなく、メモリにスワップメモリの量を加えた値を設定しま

す。デフォルトでは、制限は課されません。

-m

フラグが指定され、

--memory-swap

が指定されな

かった場合は、

--memory-swap

は

-m

の

2

倍に設定されます。例で説明するのが最もわかりやすい ...