컨테이너 보안: 컨테이너화된 응용 프로그램의 보안을 위한 개념, 이론, 대응법과 모범 관행까지

9.1 루트로 컨테이너 실행

167

9.1.3

루트 없는 컨테이너

제

4

장에서 구체적인 예제들을 통해서 보았듯이, 컨테이너를 생성하는 데 필요한 연산 중에 루

트 권한을 요구하는 것들이 있다. 다수의 사용자가 하나의 컴퓨터에 로그인하는 전통적인 컴퓨

터 공유 환경에서는 일반적으로 그런 연산이 허용되지 않는다. 그런 환경의 예가 학생들과 교

직원들이 자신의 계정으로 공유 컴퓨터 한 대 또는 컴퓨터들의 클러스터에 접속하는 대학 전산

망이다. 그런 환경에서, 컨테이너를 생성할 수 있도록 루트 권한을 달라는 사용자의 요청을 시

스템 관리자가 거부하는 것은 당연한 일이다. 루트 권한이 있는 사용자는 다른 사용자의 코드

나 자료를 얼마든지 읽고 쓸 수 있기 때문이다 (실수로든, 의도적이든 ).

몇 년 전부터

Rootless

Containers

프로젝트(

https

://

rootlesscontaine

.

rs

)는 비루트 사용

자도 컨테이너를 실행할 수 있도록 커널을 수정하는 작업을 진행했다.

참고:

도커 시스템에서는 보통의 사용자가 루트 권한 없이 컨테이너를 실행할 수 있는 것처럼 보인다. 그러

나 도커로 컨테이너를 실행하려면 사용자가 반드시

docker

그룹의 일원이어야 하며, 그 그룹에는 도커 소

켓을 통해서 도커 데몬에 명령을 전송하는 권한이 있다. 이는 호스트의 루트 권한을 가지는 ...