Der Schalter „Privilegien“ in ZimaOS entspricht im Wesentlichen dem privilegierten Docker-Modus. Der IceWhale-Support beschrieb ihn als eine Einstellung, die dem Container hostähnliche Berechtigungen, direkten Hardwarezugriff und Berechtigungen auf Root-Ebene gewährt. Aktivieren Sie ihn nur, wenn eine Anwendung dieses Zugriffsrecht tatsächlich benötigt.
Für die meisten Apps ist der privilegierte Modus unnötig und schwächt die Isolation, die Container sicherer macht. Ordnen Sie lieber ein einzelnes Gerät zu oder fügen Sie eine einzelne Linux-Funktion hinzu, statt dem Container uneingeschränkte Rechte zu gewähren.
Was der privilegierte Modus ändert
Der aktuelle Leitfaden von Docker zu privilegierten Containern besagt, dass --privileged dem Container alle Linux-Funktionen und Zugriff auf alle Host-Geräte gewährt und zugleich wichtige Sicherheitskontrollen lockert.
Warum IceWhale es als Zugriff auf Host-Ebene beschrieb
In der offiziellen Antwort heißt es, dass der Containerprozess direkt auf die Host-Hardware zugreifen und mit root-ähnlichen Berechtigungen ausgeführt werden kann. Das ist eine nützliche kurze Erklärung, doch die praktischen Auswirkungen auf die Sicherheit sind umfassender: Der Container ist nicht mehr stark isoliert.
Aktivieren Sie keine Privilegien, nur um einen beliebigen Fehler zu beheben
Wenn eine App nicht auf ein USB-Gerät, eine GPU, eine Netzwerkfunktion oder einen Mount zugreifen kann, ermitteln Sie zunächst die genau fehlende Berechtigung. Der privilegierte Modus kann das eigentliche Konfigurationsproblem verschleiern und gleichzeitig den gesamten Host offenlegen.
Geräte gezielt zuordnen
devices:
- /dev/dri/renderD128:/dev/dri/renderD128Ordnen Sie bei einem einzelnen Hardwaregerät dieses Gerät zu, nicht alle Geräte des Hosts.
Bestimmte Linux-Funktionen bevorzugen
cap_add:
- NET_ADMINEin VPN-/Router-Container benötigt möglicherweise eine bestimmte Netzwerkfunktion. Gewähren Sie statt des privilegierten Modus nur die minimal erforderlichen Berechtigungen, sofern die App-Dokumentation dies unterstützt.
Apps, die tatsächlich mehr Zugriffsrechte benötigen können
Beispiele sind Hardware-Tools auf niedriger Ebene, Docker-in-Docker, einige VPN-/Netzwerk-Appliances, USB-/Geräteverwaltung oder spezialisierte Software zur Systemüberwachung. Lesen Sie in jedem Fall zuerst die Bereitstellungshinweise des Upstream-Projekts.
Apps, die ihn normalerweise nicht benötigen
Normale Web-Apps, Medienbibliotheken, Notiz-Apps, Datenbanken, Fotoverwaltungen, Dashboards und die meisten API-Dienste sollten für ihre Funktion keinen vollständig privilegierten Modus benötigen.
Prüfe „Privileges“ nach einem App-Update erneut
Ein älteres App-Paket kann den privilegierten Modus aus Bequemlichkeit aktiviert haben, obwohl der Anbieter inzwischen eingeschränktere Berechtigungen hinzugefügt hat. Prüfe beim Aktualisieren erneut die aktuellen Compose-Anforderungen.
Der Docker-Sicherheitsleitfaden beschreibt das sicherere Muster für benutzerdefinierte Apps.
Prüfe den Container, bevor du mehr Zugriff gewährst
docker inspect CONTAINERPrüfe vorhandene Gerätezuweisungen, Funktionen, Einbindungen, den Netzwerkmodus und die Benutzerkonfiguration. Viele Apps schlagen fehl, weil ein benötigtes Gerät oder ein Pfad fehlt, nicht weil sie uneingeschränkten Host-Zugriff benötigen.
Der privilegierte Modus kann die Auswirkungen eines Angriffs vergrößern
Wird eine normale, nicht privilegierte Web-App kompromittiert, kann die Container-Isolierung den Zugriff eines Angreifers begrenzen. Ein privilegierter Container kann auf deutlich mehr Host-Geräte und Kernel-Schnittstellen zugreifen. Eine Sicherheitslücke in dieser App kann daher systemweite Folgen haben.
Dokumentiere, warum „Privileges“ aktiviert ist
Wenn du den Modus bewusst aktivierst, halte genau fest, welche Funktion ihn erfordert. Teste bei einem späteren App-Update erneut, ob die App mit eingeschränkteren Berechtigungen ausgeführt werden kann, und deaktiviere den Schalter, wenn er nicht mehr benötigt wird.
FAQ
Bedeutet „Privileges“, dass der Container als Root ausgeführt wird?
Er geht über die einfache Ausführung als Root innerhalb des Containers hinaus; der privilegierte Modus gewährt umfangreiche Host-Funktionen und Gerätezugriff.
Sollte ich ihn für jede benutzerdefinierte App aktivieren?
Nein. Lass ihn deaktiviert, sofern die Dokumentation des Anbieters nicht ausdrücklich angibt, dass die Anwendung ihn benötigt.
Kann ich nur Zugriff auf GPU oder USB gewähren?
Ja. Bevorzuge gezielte Gerätezuweisungen und Laufzeiteinstellungen statt des vollständig privilegierten Modus.
Ist der privilegierte Modus gefährlich?
Es verringert die Container-Isolierung erheblich, sodass eine kompromittierte App mit erweiterten Berechtigungen den Host deutlich stärker beeinträchtigen kann.
