限制Docker容器内的系统调用

如何限制在docker集装箱内进行的任何系统调用。如果给定的进程进行系统调用，它将被阻止。或者我怎样才能使用docker的seccomp。

您可以在“ Docker的Seccomp安全configuration文件 ”中看到更多内容（只有内核configuration了CONFIG_SECCOMP才能使用。

docker集装箱的supoprt将在docker1.10：见问题17142

允许引擎在容器运行时接受seccompconfiguration文件。
在将来，我们可能想要发布内置configuration文件，或在图像中烘焙configuration文件。

公元17989已合并。

它允许以下列forms传递seccompconfiguration文件：

 { "defaultAction": "SCMP_ACT_ALLOW", "syscalls": [ { "name": "getcwd", "action": "SCMP_ACT_ERRNO" } ] }

示例（基于特定于Linux的运行时configuration – seccomp ）：

 $ docker run --rm -it --security-ops seccomp:/path/to/container-profile.json jess/i-am-malicious