La opción «Privileges» de la aplicación de ZimaOS equivale, en la práctica, al modo privilegiado de Docker. El equipo de asistencia de IceWhale explicó que otorga al contenedor permisos similares a los del host, acceso directo al hardware y capacidades de nivel root. Actívala solo cuando una aplicación realmente necesite ese nivel de acceso.
Para la mayoría de las aplicaciones, el modo privilegiado es innecesario y debilita el aislamiento que hace que los contenedores sean más seguros. Es preferible asignar un solo dispositivo o añadir una capacidad de Linux en lugar de concederle todo al contenedor.
Qué cambia el modo privilegiado
La guía oficial de Docker sobre contenedores privilegiados de Docker indica que --privileged otorga al contenedor todas las capacidades de Linux y acceso a todos los dispositivos del host, y relaja importantes controles de seguridad.
Por qué IceWhale lo describió como acceso al nivel del host
La respuesta oficial de la fuente dice que el proceso del contenedor puede acceder directamente al hardware del host y ejecutarse con privilegios similares a los de root. Es una explicación breve útil, pero el impacto práctico en la seguridad es más amplio: el contenedor deja de estar fuertemente aislado.
No habilites privilegios solo para corregir un error cualquiera
Si una aplicación no puede acceder a un dispositivo USB, una GPU, una función de red o un punto de montaje, averigua primero qué permiso concreto falta. El modo privilegiado puede ocultar el verdadero problema de configuración y, al mismo tiempo, exponer todo el host.
Prefiere la asignación de dispositivos
devices:
- /dev/dri/renderD128:/dev/dri/renderD128Para un dispositivo de hardware, asigna ese dispositivo en lugar de todos los dispositivos del host.
Prefiere capacidades específicas de Linux
cap_add:
- NET_ADMINUn contenedor de VPN o router puede necesitar una capacidad de red específica. Concede el conjunto mínimo necesario en lugar de usar el modo privilegiado, siempre que la documentación de la aplicación lo permita.
Aplicaciones que pueden necesitar legítimamente más acceso
Algunos ejemplos son herramientas de hardware de bajo nivel, Docker dentro de Docker, ciertos dispositivos VPN o de red, administración de USB y dispositivos, o software especializado de monitorización del sistema. Aun así, consulta primero las instrucciones de implementación del proyecto original.
Aplicaciones que normalmente no lo necesitan
Las aplicaciones web normales, las bibliotecas multimedia, las aplicaciones de notas, las bases de datos, los gestores de fotos, los paneles y la mayoría de los servicios de API no deberían necesitar el modo privilegiado completo para funcionar.
Revisa los privilegios después de actualizar una aplicación
Es posible que un paquete antiguo de una aplicación haya habilitado el modo privilegiado por comodidad, aunque desde entonces el proyecto oficial haya añadido permisos más restringidos. Al actualizar, vuelve a comprobar los requisitos actuales de Compose.
La guía de seguridad de Docker ofrece un patrón más seguro para las aplicaciones personalizadas.
Inspecciona el contenedor antes de conceder más acceso
docker inspect CONTAINERComprueba las asignaciones de dispositivos existentes, las capacidades, los montajes, el modo de red y la configuración de usuario. Muchas aplicaciones fallan porque les falta un dispositivo o una ruta necesaria, no porque necesiten acceso irrestricto al host.
El modo privilegiado puede ampliar el alcance del daño
Si una aplicación web normal sin privilegios se ve comprometida, el aislamiento del contenedor puede limitar aquello a lo que accede un atacante. Un contenedor privilegiado puede acceder a muchos más dispositivos del host e interfaces del kernel, por lo que una vulnerabilidad en esa aplicación puede tener consecuencias en todo el sistema.
Documenta por qué están habilitados los privilegios
Cuando lo actives intencionadamente, anota la función exacta que lo requiere. Al actualizar la aplicación más adelante, vuelve a comprobar si puede ejecutarse con permisos más restringidos y desactiva la opción si ya no es necesaria.
Preguntas frecuentes
¿Privilegios significa que el contenedor se ejecuta como root?
Va más allá de ejecutarse como root dentro del contenedor; el modo privilegiado otorga amplias capacidades en el host y acceso a sus dispositivos.
¿Debería activarlo para todas las aplicaciones personalizadas?
No. Déjalo desactivado, salvo que la documentación oficial indique que la carga de trabajo lo requiere.
¿Puedo dar acceso solo a la GPU o al USB?
Sí. Es mejor usar asignaciones de dispositivos y ajustes del entorno de ejecución específicos que el modo privilegiado completo.
¿Es peligroso el modo privilegiado?
Reduce significativamente el aislamiento de los contenedores, por lo que una aplicación comprometida con privilegios puede tener un impacto mucho mayor en el host.
