Привилегированный режим в Docker
Привилегированный режим снимает почти все ограничения и даёт контейнеру доступ к устройствам компьютера. Копия получает права близкие к хосту, поэтому ошибка внутри бьёт по машине сильнее, чем у обычного запуска.
Режим включает флаг
--privileged.
Краткий фоновый box
на alpine задают так:
docker run -d --name box --privileged alpine sleep 30
Такой режим для обычного сайта не нужен: его включают редко, когда программе нужен доступ к устройству. После проверки копию лучше сразу снять, чтобы не держать лишний привилегированный процесс на хосте:
docker rm -f box
Запись box исчезнет
из списка, а образ alpine
останется на диске.
Для повседневных служб хватает
лимитов памяти, процессора
и сброса возможностей без
полного доступа к железу.
Запустите короткий фоновый контейнер gate на alpine с полным доступом к устройствам и ожиданием двадцать секунд, затем сразу уберите эту копию.
Назовите один узкий случай, когда программе в контейнере может понадобиться прямой доступ к устройству хоста.
