Container Security

www.huawei.com
Security Level:
HUAWEI TECHNOLOGIES CO., LTD.
容器安全
Author：张永
Email: zhangyong23@huawei.com Date: 2017-06-14

HUAWEI TECHNOLOGIES CO., LTD. Huawei Confidential 2
背景介绍
主机安全
容器安全
Q&A
目录

背景介绍
 2008 ~ 2015年：WindRiver Linux
部门
 2015.5 ~ Now：华为EulerOS系
统部
 长期从事linux系统开发，活跃
于linux社区
 在华为EulerOS部门主要负责容
器项目的开发设计
张永
Email：yong.zhang0@gmail.com； zhangyong23@huawei.com
--我是谁？？

多租
EulerOS iSula
容器存储
docker-engine
容器网络
（iCan）
k8s
容器
日志
（flu
entd）
容器
监控
（Pr
ome
theu
s）
容器
开发
toolkit容器运行环境
vm OCI runtimerunv
runtime interface
编排调度 interface
mesos swarm
标准用户接口（standard user interface）
WEB UI CLI用户接口
TPM
EPT/
TLS/
安全
审查
多租/
安全
隔离
docker
容器
调用
链
（op
en
traci
ng）
容器
安全
EulerOS iSula负责的范围
容器仓库
背景介绍
--EulerOS iSula

• 主机安全问题
--
--
--
• 容器安全问题
--
--
--
系统
路径
安全
配置网络
接口
访问
权限
运行
权限
系统
资源内核
功能
docker
逃逸
检测
背景介绍
--安全？安全！

通过在启动过程中识别基础系统信任问题，确保
主机安全
主机安全
--安全启动

OS
应用
OSLoader
BIOS
CRTM
TBB
7
5
3
8
6
4
2
1
执
行
流
程
TPM
PCR
扩展
度量
硬件（Intel）
HOST OS
Containr 1 Containr nContainr 2
TPM
docker daemon
TPM
vTPMGUEST OS
主机安全
--可信启动

主机安全
--其他…
 Kernel
 ACL
 Capabilities
 namespace
 seccomp
 iptables
 audit
 selinux
 IMA
 Address Space Layout Randomization (ASLR)
 OS
 不可变基础设施
 容器OS（Container OS）

容器安全
--运行环境
 Kernel
 ACL
 Capabilities
 namespace
 seccomp
 iptables
 audit
 selinux
 IMA（TPM）
 Address Space Layout Randomization (ASLR)
 cgroups
 OS
 不可变基础设施
 容器OS（Container OS）

容器安全
--镜像扫描
针对Docker容器的漏洞扫描工具，解决容器镜像携带漏洞的问题，
更进一步，发现带有恶意程序的镜像。
EulerOS
& Nessus
CVE
DB
user repo
scan
DB
push
镜像安全扫描
notify
scan
Partner
3Rd

容器安全
--镜像签名
 DOCKER_CONTENT_TRUST
 Norary open source project
PIC from notary

容器安全
--运行时
 docker run --readonly
 No privilege
 no root in docker
 镜像完整性检查

Join us at github.com/isula
Q&A

Container Security

More Related Content

What's hot

Viewers also liked

More from LinuxCon ContainerCon CloudOpen China

Container Security