Выбор ответа Middle Облако и контейнеры обновлено
Монтирование docker.sock
Вопрос
Чем опасно монтировать /var/run/docker.sock внутрь контейнера?
Попробуйте сами
Выберите вариант, и откроется разбор.
Показать ответ и разбор
Коротко
Правильный ответ: Процесс в контейнере управляет демоном хоста и через привилегированный контейнер получит root. Доступ к сокету Docker равнозначен root на хосте: через API можно создать контейнер с --privileged и смонтированной корневой ФС.
Варианты ответа
- Тем, что контейнер увидит логи и переменные окружения других контейнеров, включая секреты
- Ничем, если контейнер запущен не от root: без root команды демону отправить нельзя
- Тем, что демон Docker не сможет обновиться, пока сокет занят процессом в контейнере
- Процесс в контейнере управляет демоном хоста и через привилегированный контейнер получит rootправильный ответ
Разбор
Доступ к сокету Docker равнозначен root на хосте: через API можно создать контейнер с --privileged и смонтированной корневой ФС. Пользователь внутри контейнера тут почти не важен, если у него есть права на сокет. Такие монтирования нужны только специальным агентам, и их изолируют отдельно.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.