Сброс возможностей в Docker
Сброс возможностей отбирает у контейнера права, которые служба даёт по умолчанию. Без них программа не сможет делать часть привилегированных действий, даже если внутри она работает от root.
Список урезают флагом
--cap-drop со значением
ALL.
Фоновый box на alpine
с ожиданием запускают так:
docker run -d --name box --cap-drop ALL alpine sleep 300
Обычный sleep 300 при
этом живёт: ему не нужны
дополнительные права на сеть
или устройства.
У копии нет лишних возможностей
на настройку интерфейсов
и доступ к железу, хотя
главный процесс просто ждёт.
Создайте фоновый контейнер plain на alpine с полным сбросом возможностей и ожиданием триста пятьдесят секунд.
Убедитесь, что plain числится работающим, и своими словами объясните, почему простое ожидание при этом не обрывается.
