Docker 보안 기초 — 루트리스 모드와 권한 최소화

FROM node:20-alpine

WORKDIR /app
COPY package*.json ./
RUN npm ci --omit=dev

COPY . .

# 비루트 사용자 생성
RUN addgroup -g 1001 appgroup \
    && adduser -u 1001 -G appgroup -s /bin/sh -D appuser

# 파일 소유권 변경
RUN chown -R appuser:appgroup /app

# 이후 모든 명령어는 appuser로 실행
USER appuser

EXPOSE 3000
CMD ["node", "server.js"]

FROM python:3.12-slim

RUN groupadd -r appgroup && useradd -r -g appgroup -m appuser

WORKDIR /app
COPY --chown=appuser:appgroup . .

USER appuser
CMD ["python", "main.py"]

# Dockerfile에 USER가 없어도 실행 시 지정 가능
docker run --user 1001:1001 nginx

# 또는 사용자 이름으로
docker run --user nobody:nogroup nginx

CAP_CHOWN, CAP_DAC_OVERRIDE, CAP_FSETID, CAP_FOWNER,
CAP_MKNOD, CAP_NET_RAW, CAP_SETGID, CAP_SETUID,
CAP_SETFCAP, CAP_SETPCAP, CAP_NET_BIND_SERVICE,
CAP_SYS_CHROOT, CAP_KILL, CAP_AUDIT_WRITE

CAP_SYS_ADMIN    — mount, namespace 조작 등 (가장 위험)
CAP_NET_ADMIN    — 네트워크 설정 변경
CAP_SYS_PTRACE   — 다른 프로세스 디버깅
CAP_SYS_MODULE   — 커널 모듈 로드

# 모든 capabilities 제거
docker run --cap-drop ALL myapp

# 필요한 것만 추가
docker run --cap-drop ALL --cap-add NET_BIND_SERVICE myapp

# 특정 capability 제거
docker run --cap-drop NET_RAW myapp

# compose.yaml
services:
  api:
    image: myapi:latest
    cap_drop:
      - ALL
    cap_add:
      - NET_BIND_SERVICE  # 80, 443 포트 바인딩 필요 시
    security_opt:
      - no-new-privileges:true  # 프로세스가 추가 권한 획득 방지

# 기본 프로파일로 실행 (기본 동작)
docker run myapp

# seccomp 비활성화 (위험! 테스트 용도로만)
docker run --security-opt seccomp=unconfined myapp

# 커스텀 seccomp 프로파일 적용
docker run --security-opt seccomp=custom-profile.json myapp

{
  "defaultAction": "SCMP_ACT_ERRNO",
  "architectures": ["SCMP_ARCH_X86_64"],
  "syscalls": [
    {
      "names": ["read", "write", "open", "close", "stat", "fstat",
                "lstat", "poll", "lseek", "mmap", "mprotect",
                "munmap", "brk", "ioctl", "access", "pipe",
                "select", "sched_yield", "mremap", "msync",
                "mincore", "madvise", "dup", "dup2", "nanosleep",
                "socket", "connect", "accept", "sendto", "recvfrom",
                "bind", "listen", "getsockname", "getpeername",
                "clone", "fork", "vfork", "execve", "exit",
                "wait4", "kill", "uname", "getcwd", "chdir",
                "rename", "mkdir", "rmdir", "link", "unlink",
                "chmod", "chown", "getuid", "getgid", "geteuid",
                "getegid", "getpid", "getppid"],
      "action": "SCMP_ACT_ALLOW"
    }
  ]
}

# AppArmor 상태 확인
sudo aa-status

# 기본 프로파일 확인
docker inspect mycontainer --format '{{.HostConfig.SecurityOpt}}'

# 커스텀 프로파일 적용
docker run --security-opt apparmor=my-custom-profile myapp

# AppArmor 비활성화 (테스트 용도만)
docker run --security-opt apparmor=unconfined myapp

# SELinux 상태 확인
getenforce

# SELinux 라벨로 볼륨 마운트
docker run -v /data:/data:Z myapp     # 프라이빗 라벨
docker run -v /data:/data:z myapp     # 공유 라벨

일반 Docker:
┌── root ────────────────────────┐
│  dockerd (root)                │
│  ├── containerd (root)         │
│  │   └── runc (root)           │
│  │       └── 컨테이너 (root)    │
│  └── docker-proxy (root)       │
└────────────────────────────────┘

Rootless Docker:
┌── 일반 사용자 (UID 1000) ──────┐
│  dockerd (UID 1000)            │
│  ├── containerd (UID 1000)     │
│  │   └── runc (UID 1000)       │
│  │       └── 컨테이너           │
│  └── docker-proxy (UID 1000)   │
└────────────────────────────────┘

# 사전 요구사항 설치
sudo apt-get install -y uidmap dbus-user-session

# rootless Docker 설치
dockerd-rootless-setuptool.sh install

# 환경변수 설정
export PATH=/home/myuser/bin:$PATH
export DOCKER_HOST=unix:///run/user/$(id -u)/docker.sock

# compose.yaml — 보안 강화 예시
services:
  api:
    image: myapi:latest
    user: "1001:1001"

    # 권한 최소화
    cap_drop:
      - ALL
    security_opt:
      - no-new-privileges:true

    # 읽기 전용 파일 시스템
    read_only: true
    tmpfs:
      - /tmp
      - /var/run

    # 리소스 제한
    deploy:
      resources:
        limits:
          cpus: "0.5"
          memory: 512M
        reservations:
          memory: 256M

    # PID 수 제한 (fork bomb 방지)
    pids_limit: 100

    # 네트워크
    networks:
      - backend

    # 재시작 정책
    restart: unless-stopped

# 프로세스 격리
docker run --pid=private myapp     # PID 네임스페이스 격리

# IPC 격리
docker run --ipc=private myapp     # IPC 네임스페이스 격리

# 읽기 전용 루트 파일시스템
docker run --read-only --tmpfs /tmp myapp

# PID 제한
docker run --pids-limit 100 myapp

# 메모리 스왑 비활성화
docker run --memory 512m --memory-swap 512m myapp