ログイン不可のコンテナの作成は可能か？

Question

###実現したいこと
Docker exec や Docker attatch によるコンテナ内への接続を制限したい。

###発生している課題
外部からのログインを禁止したコンテナの作成可否を調査しているが
すでに試した人やナレッジを見つけられていないため（そもそもやるべきではないことなのかもしれないが…。）
知見をお持ちの方に可否について意見・アドバイスをいただきたい。
そもそもこれはアンチパターンなのでしょうか？

Answer 1

通常の使い方であれば不可能と思われます。

コンテナ内の接続がattachもしくはexecによる、プロセス空間の共有という意味であれば、Dockerのドキュメント内では、そのような事が行える記述はありません。また、イメージ上なりDockerfileでも、そのような定義はできません。

ただし、目指していることがコンテナ内（のプロセス空間内）でコマンドを実行したくない、という意味であれば、シェルとして実行可能なバイナリを削除するなどして、当面は対処可能かもしれません。

当面はと書いたのは、Dockerイメージとして配布されている状態であれば、誰かがそのイメージを元に、新しいイメージの作成（commit）が可能なためです。何らかの仕組みにより、一時的にコマンドを実行させない環境を作れたとしても、その環境は上書き可能なためです。

一方、最終的に何をしたいかによりますが、コンテナ間はお互いが見えませんので、一部ユーザに特定のコンテナに対するプロセス空間の共有（例えばsshdを通すなど）が可能であれば、対象のコンテナに対するログインを防げるというような工夫の余地は考えられます。

Comments

[alpaca923]

ご教示ありがとうございます。
やはり、定義は難しいですよね。

理想としては
特定コマンドのみを実行するようなコンテナを作成し
コンテナ内でattach、execを含めた
アクセスコントロールをしたかったのですが…。

配布を想定した場合にコンテナ化が楽という安易な発想から
調査を進めていたのですが別の方法を探したいと思います。

ありがとうございました。

Answer 2

私も Docker を勉強中なのですが、所詮 root 権限でリソースを分離するための技術なので、そのホストにログインできてかつ root 権限を持っている人にも exec や attach を禁止することがもしできるなら、stop/restart/rm もできないということになり、自己矛盾が発生するような気がしませんか？

Comments

[alpaca923]

わかりにくい文章を書いてしまって申し訳ありません。
ホスト側でコマンドを叩くのを禁止するのではなく、
叩いてもアクセスを拒否するというような動作をイメージしていました。

つまり、コンテナ側の設定でアクセスを拒否することができるのか
ということについて気になっています。

[hotta]

なので、docker exec は叩かれても拒否するけど、docker stop は
（停止できないと困るので）拒否しない、という制限をコンテナ側で
できるかどうかということになりませんか？

[alpaca923]

なるほど。確かにおっしゃるとおりですね。
--cap-add, --cap-dropオプションでできるようなことを
あらかじめコンテナないで定義できないかと思ったんですが難しそうですね…。