Por que não devo rodar containers como root?

Porque se a aplicação for comprometida, o atacante terá privilégios de root no container e poderá tentar escapar para o host.

O que acontece se eu remover capabilities demais?

A aplicação pode falhar por falta de permissões. Adicione só as capabilities realmente necessárias ao funcionamento.

Posso isolar containers usando apenas redes Docker?

Redes ajudam, mas não substituem o isolamento de usuários e capabilities. Use todos os mecanismos em conjunto.

É seguro montar /var/run/docker.sock dentro do container?

Não. Isso dá acesso root ao Docker do host, permitindo controle total sobre o sistema.

Isolamento de containers: usuários, capabilities e redes restritas

Em resumo

O isolamento de containers é essencial para evitar que aplicações escapem do ambiente controlado e comprometam o host. Esta lição mostra como executar containers como usuários não-root, limitar capabilities, restringir redes e mounts, elevando a segurança operacional.

Conta gratuita