L'interruttore “Privilegi” dell'app ZimaOS equivale di fatto alla modalità privilegiata di Docker. L'assistenza IceWhale ha spiegato che concede al container autorizzazioni simili a quelle dell'host, accesso diretto all'hardware e funzionalità di livello root. Attivalo solo quando un'applicazione richiede davvero questo livello di accesso.
Per la maggior parte delle app, la modalità privilegiata non è necessaria e indebolisce l'isolamento che rende più sicuri i container. Preferisci mappare un singolo dispositivo o aggiungere una singola funzionalità Linux, invece di concedere tutto al container.
Cosa cambia con la modalità privilegiata
L'attuale guida di Docker sui container privilegiati di Docker afferma che --privileged assegna al container tutte le funzionalità Linux e l'accesso a tutti i dispositivi dell'host, allentando al contempo importanti controlli di sicurezza.
Perché IceWhale l'ha descritta come accesso a livello host
La risposta ufficiale di IceWhale afferma che il processo del container può accedere direttamente all'hardware dell'host ed eseguire operazioni con privilegi simili a quelli di root. È una spiegazione sintetica utile, ma l'impatto pratico sulla sicurezza è più ampio: il container non è più protetto da una sandbox robusta.
Non abilitare i privilegi solo per correggere un errore qualsiasi
Se un'app non riesce ad accedere a un dispositivo USB, a una GPU, a una funzione di rete o a un mount, individua prima l'autorizzazione specifica mancante. La modalità privilegiata può nascondere il vero problema di configurazione ed esporre l'intero host.
Preferisci la mappatura dei dispositivi
devices:
- /dev/dri/renderD128:/dev/dri/renderD128Per un singolo dispositivo hardware, mappa quel dispositivo invece di tutti i dispositivi dell'host.
Preferisci funzionalità Linux specifiche
cap_add:
- NET_ADMINUn container VPN/router potrebbe richiedere una specifica funzionalità di rete. Se la documentazione dell'app lo consente, concedi solo le autorizzazioni necessarie invece di usare la modalità privilegiata.
App che potrebbero legittimamente richiedere più accessi
Tra gli esempi ci sono strumenti hardware di basso livello, Docker-in-Docker, alcuni dispositivi di rete o VPN, la gestione di dispositivi USB o software specializzati per il monitoraggio del sistema. Anche in questi casi, leggi prima le indicazioni di deployment del progetto originale.
App che in genere non ne hanno bisogno
Le normali app web, le librerie multimediali, le app per le note, i database, i gestori di foto, le dashboard e la maggior parte dei servizi API non dovrebbero aver bisogno della modalità privilegiata completa per funzionare.
Rivedi i privilegi dopo un aggiornamento dell’app
Un vecchio pacchetto dell’app potrebbe aver attivato la modalità privilegiata per comodità, anche se nel frattempo il progetto ufficiale ha introdotto autorizzazioni più limitate. Quando aggiorni, ricontrolla i requisiti Compose attuali.
La guida alla sicurezza di Docker descrive l’approccio più sicuro per le app personalizzate.
Esamina il container prima di concedere più accessi
docker inspect CONTAINERControlla le mappature dei dispositivi, le capacità, i montaggi, la modalità di rete e la configurazione utente esistenti. Molte app non funzionano perché manca un dispositivo o un percorso necessario, non perché hanno bisogno di accesso illimitato all’host.
La modalità privilegiata può ampliare la portata dei danni
Se un’app web standard senza privilegi viene compromessa, l’isolamento del container può limitare ciò a cui un aggressore riesce ad accedere. Un container privilegiato può accedere a molti più dispositivi dell’host e interfacce del kernel, quindi una vulnerabilità nell’app può avere conseguenze sull’intero sistema.
Documenta il motivo per cui i privilegi sono attivi
Quando la attivi intenzionalmente, annota la funzionalità specifica che la richiede. In occasione di un successivo aggiornamento dell’app, verifica di nuovo se può funzionare con autorizzazioni più limitate e disattiva l’opzione se non è più necessaria.
Domande frequenti
Privilegi significa che il container viene eseguito come root?
Va oltre il semplice fatto di eseguire il container come root: la modalità privilegiata concede ampie capacità sull’host e accesso ai dispositivi.
Devo attivarla per ogni app personalizzata?
No. Lasciala disattivata, a meno che la documentazione ufficiale non indichi che il carico di lavoro ne ha bisogno.
Posso consentire l’accesso solo alla GPU o all’USB?
Sì. Preferisci mappature specifiche dei dispositivi e impostazioni di runtime invece della modalità privilegiata completa.
La modalità privilegiata è pericolosa?
Riduce notevolmente l’isolamento dei container, quindi un’app privilegiata compromessa può avere un impatto molto più ampio sull’host.
