컨테이너 보안: 컨테이너화된 응용 프로그램의 보안을 위한 개념, 이론, 대응법과 모범 관행까지

제

9

장

컨테이너 격리 깨기

174

9.5

컨테이너와 호스트의 이름공간 공유

컨테이너가 호스트의 일부 이름공간들을 사용하도록 설정하는 것이 합당한 경우도 있다. 한 예

로, 도커 컨테이너에서 실행할 프로세스가 호스트의 프로세스 정보를 꼭 사용해야 할 수도 있

다. 그런 경우

--

pid

=

host

옵션을 지정해서

docker

를 실행하면 컨테이너 프로세스는 호스트

의 프로세스 이름공간을 공유한다.

이전에 보았듯이, 호스트는 컨테이너화된 프로세스들을 모두 볼 수 있다. 따라서 호스트의

프로세스 이름공간을 공유한 컨테이너는 다른 컨테이너화된 프로세스들도 볼 수 있다. 다음은

이 점을 확인하는 예이다. 한 컨테이너 안에서

sleep

을 충분히 오래 실행하고,

--

pid

=

host

를

지정해서 실행한 다른 컨테이너에서 프로세스들을 나열한다.

vagrant@vagrant$ docker run --name sleep --rm -d alpine sleep 1000

fa19f51fe07fca8d60454cf8ee32b7e8b7b60b73128e13f6a01751c601280110

vagrant@vagrant$ docker run --pid=host --name alpine --rm -it alpine sh

/ $ ps | grep sleep

30575 root 0:00 sleep 1000 ...