轻松管理和保障容器应用程序：Docker Swarm安全之道

Posted 陈书予

tags:

篇首语：本文由小常识网(cha138.com)小编为大家整理，主要介绍了轻松管理和保障容器应用程序：Docker Swarm安全之道相关的知识，希望对你有一定的参考价值。

✅创作者：陈书予
🎉个人主页：陈书予的个人主页
🍁陈书予的个人社区，欢迎你的加入: 陈书予的社区

文章目录

一、 介绍Docker Swarm 安全

1. 什么是Docker Swarm

Docker Swarm是一组Docker原生的管理工具，允许您轻松地将Docker主机转换为生产就绪的集群，并在集群中安排和运行容器化应用程序。 Swarm使用可扩展的内置安全特性，以保持您的容器应用程序隔离和保护，包括TLS加密，授权和机密管理等。

2. 为什么要使用Docker Swarm

使用Docker Swarm有以下几个优点:

  • 部署和管理容器化应用程序变得更加轻松和快速
  • 容器可以在多台主机上定位和运行
  • 高可用性和可靠性，即使某个Docker主机宕机，集群仍可继续运行
  • 集群提供安全性和可扩展性

3. Docker Swarm的安全特性

Docker Swarm 通过以下安全特性保护您的容器：

  • 认证和授权
  • TLS 加密通讯
  • 网络隔离
  • 应用程序启动策略，例如仅从受信任的仓库拉取映像等
  • 密钥和授权令牌的管理
  • 非管理员用户和角色的设置

二、Docker Swarm 安全设置

1. 安装 Docker Swarm

在开始之前，请确保您已经安装了 Docker。您可以从 Docker 的官方网站 (https://www.docker.com/) 下载和安装 Docker。安装完成后，我们需要创建一个 Docker Swarm 集群。

  1. 要创建集群，请执行以下步骤：

打开终端并在其中输入以下命令。该命令将创建一个Swarm Manager节点：

docker swarm init

注意: 执行此命令时需要root权限。

  1. 在执行上一步之后，您将在终端中看到以下消息: “Swarm initialized: current node (XXXX) is now a manager.” 此消息表示Swarm Manager节点已成功创建。

  2. 使用"docker swarm join-token worker"命令获取Worker节点加入Docker Swarm的令牌, 例如:

docker swarm join-token worker
  1. 记下输出的信息中的完整命令(类似于docker swarm join --token SWMTKN-1-0ppw4vnjtshr4t4ys95igxxxxx 192.168.99.103:2377)，稍后将使用此命令将工作节点加入集群。

2. 配置 Swarm Manager节点

现在我们需要配置Swarm Manager节点。 主要任务是使Swarm集群通过TLS安全通讯。

步骤如下：

  1. 使用 OpenSSL 工具生成 SSL 证书. 我们将在 Swarm Manager 节点上生成证书。
openssl req -newkey rsa:2048 -nodes -keyout swarm.key -x509 -days 365 -out swarm.crt
  1. 创建 Docket Swarm 配置文件
vi /etc/docker/daemon.json
  1. 添加以下内容并保存，注意需要把/path/to替换为你自己的目录：

    "tlsverify": true,
    "tlscacert": "/path/to/swarm.crt",
    "tlscert": "/path/to/swarm.crt",
    "tlskey": "/path/to/swarm.key",
    "hosts": ["tcp://0.0.0.0:2376", "unix:///var/run/docker.sock"]
  1. 重启 Docker 服务并验证配置
systemctl daemon-reload
systemctl restart docker
docker info --tlsverify

如果证书设置正确，则会得到类似以下消息:

"Swarm: active
NodeID: XXXXXXXXXXXXXXX
Is Manager: true
ClusterID: XXXXXXXXXXXXXXXX
Managers: 1
Nodes: 1
Default Address Pool: 10.0.0.0/8"

3. 加密你的网络通讯

要保护Docker Swarm集群中的网络通讯，您需要对其进行加密。使用TLS（传输层安全）协议加密Swarm节点之间的通讯是一种可行的方法。以下是为Docker Swarm设置TLS加密的步骤：
步骤如下：

  1. 使用以下命令为Docker Swarm集群生成TLS证书：
docker swarm ca --rotate
  1. 使用SSH或SCP将swarmCa.crt文件从Swarm Manager节点复制到所有Workers节点上，并将其保存到/tmp/ 目录中。例如执行以下命令:
scp /etc/docker/swarmCa.crt user@worker-node:/tmp/
  1. 在Worker节点上，使用以下命令在/tmp/ 目录中生成TLS证书：
docker swarm ca --rotate --ca-cert /tmp/swarmCa.crt --ca-key /var/lib/docker/swarm/ca.pem --cert-expiry 2160h --cert /var/lib/docker/swarm/node.crt --key /var/lib/docker/swarm/node.key
  1. 在所有节点的Docker Daemon里启用TLS，并将Swarm证书和键上传到所有节点：

"tlsverify": true,
"tlscacert": "/etc/docker/swarmCa.crt",
"tlscert": "/var/lib/docker/swarm/node.crt",
"tlskey": "/var/lib/docker/swarm/node.key",
"hosts": ["tcp://0.0.0.0:2376", "unix:///var/run/docker.sock"]

4. 设置授权策略

设置Docker Swarm集群的授权策略是确保只有受信任的用户和容器才能访问Swarm集群的重要步骤。默认情况下，Docker Swarm集群允许所有用户进行访问，因此需要更高的授权级别加以限制访问。
步骤如下：

  1. 在Docker Swarm Manager节点上执行以下命令以创建一个授权令牌：
docker swarm join-token manager
  1. 收到令牌后，请分发给同意管理群集的用户。

使用以下命令取消默认的管理员访问：

docker node update --availability drain <node_name>

注意更改<node_name>以反映您的本地节点名称。

  1. 设置Swarm集群给予受信任的Docker Registry的访问。

使用以下命令创建一个祖先证书：

openssl genrsa -aes128 -out registryCA.key 2048

使用以下命令创建一个X.509证书签名请求:

openssl req -new -key registryCA.key -out registry.csr

使用以下命令自签署证书:

openssl x509 -req -days 365 -in registry.csr -signkey registryCA.key -out registryCA.crt

将证书添加到Linux主机上：

cp registryCA.crt /usr/local/share/ca-certificates/
update-ca-certificates

创建Docker配置文件：


"insecure-registries": ["registry:5000"]

5. 安全地存储密钥和凭证

使用Docker Swarm管理加密的凭证和密钥是保护Swarm集群免受黑客和窃取攻击的重要措施。 Docker Secrets 功能可确保在集群中传输和存储敏感信息时进行加密，并且只有特定容器可以访问该敏感信息。
步骤如下：

将密钥和凭证传输到Swarm管理节点。
使用以下命令在Swarm集群中创建一个 Docker Secret:

echo "<the_secret>" | docker secret create <secret_name> -

将Docker Secret添加到Docker Compose文件中:

version: "3"

services:
myapp:
image: myapp:1.0
secrets:
- my_secret

secrets:
my_secret:
external: true

6. 集成外部认证

Docker Swarm支持外部认证，如LDAP等，以增加安全性。通过将Swarm管理节点与外部认证服务集成，您可以确保集群的身份验证和身份授权。

步骤如下：

  1. 安装适当的LDAP服务器和LDAP客户端库
  2. 启用LDAP身份验证，使Swarm Manager节点能够使用LDAP标准的用户名和密码进行身份验证
  3. 配置Swarm Manager节点以与LDAP服务器进行通信，以便在集群范围内使用LDAP用户帐户进行身份验证和授权

以下是使用LDAP集成Docker Swarm管理节点的更具体的步骤：

  1. 安装LDAP服务器和客户端库

首先，需要安装LDAP服务器和客户端库以与LDAP服务器通信。对于大多数Linux发行版来说，通常可以使用 应用程序仓库 或官方软件包管理器轻松安装它们。例如，对于Ubuntu系统，可以使用以下命令安装OpenLDAP服务器和LDAP客户端库：

sudo apt-get install slapd ldap-utils

安装过程会要求您设置LDAP管理员密码，这是在配置LDAP服务器时需要的。

  1. 启用LDAP身份验证

在成功安装LDAP服务器和客户端库后，您需要启用LDAP身份验证功能。您可以在Swarm Manager节点上使用Docker命令启用它：

docker swarm update --authto <LDAP_URL>

其中 <LDAP_URL> 是LDAP服务器的URL。例如，如果OpenLDAP服务器运行在本地主机上，可以使用ldap://localhost作为<LDAP_URL>。

此命令将向Swarm Manager节点的配置文件中添加LDAP身份验证的配置，并将其与管理节点的TLS证书一起存储在本地。此后，当您使用Swarm命令时，Docker将使用存储的LDAP身份验证配置与LDAP服务器进行通信。

  1. 配置Swarm Manager节点以与LDAP服务器进行通信

接下来，需要在Swarm Manager节点上配置LDAP服务器的详细信息，以便可以使用LDAP用户帐户进行身份验证和授权。

此配置需要在Swarm Manager节点的TLS证书由证书颁发机构（CA）签名的受信任证书中进行。要编辑此证书，您可以使用PEM格式的编辑器（例如vim等）。

首先，使用以下命令在Swarm Manager节点上创建用于LDAP配置的目录：

mkdir -p /etc/docker/ldap

然后，在刚刚创建的目录中创建具有以下配置的ldap.toml文件：

url = "ldap://<LDAP_SERVER>:<LDAP_PORT>"
bind_dn = "<LDAP_BIND_USER>"
bind_password = "<LDAP_BIND_USER_PASSWORD>"
user_search_base = "<LDAP_USER_SEARCH_BASE>"
user_search_filter = "(&(objectClass=person)(uid=0))"
group_search_base = "<LDAP_GROUP_SEARCH_BASE>"
group_search_filter = "(&(objectClass=groupOfNames)(member=user_dn))"

其中：

  • <LDAP_SERVER>：LDAP服务器的IP地址或主机名。
  • setVideoOption<LDAP_PORT>：LDAP服务器的端口号。默认端口号为389。
  • setVideoOption<LDAP_BIND_USER>：LDAP管理员帐户，可用于连接并执行LDAP服务器上的操作。
  • setVideoOption<LDAP_BIND_USER_PASSWORD>：LDAP管理员帐户的密码。
  • setVideoOption<LDAP_USER_SEARCH_BASE>：搜索LDAP用户条目的基本DN。例如“ou=people,dc=example,dc=com”。
  • setVideoOption<LDAP_GROUP_SEARCH_BASE>：搜索LDAP组条目的基本DN。例如，“ou=groups,dc=example,dc=com”。
  • 在配置文件中，user_search_filter和group_search_filter配置指定了要搜索的用户和组的过滤器。使用0表示用户的uid，user_dn表示用户的DN（用于在搜索组时进行比较）。

在保存ldap.toml文件后，您可以使用以下命令将其加载到Swarm Manager节点的配置文件中：

docker swarm update --config-add source=ldap,target=/etc/docker/ldap/ldap.toml

此命令将通过配置名称ldap将ldap.toml文件复制到所有集群节点上的指定目录中。

7. 限制IP访问控制

在Docker Swarm中，可以通过配置IPtables实现IP访问控制。IPtables是一个防火墙工具，可以根据源和目标IP地址，端口和协议等规则来过滤流量。可以在主节点和从节点上设置IPtables规则来限制访问。具体步骤如下。

7.1 Master节点

在Master节点上，可以通过以下命令来限制来自其他节点的访问：

iptables -I INPUT -p tcp --dport 2377 -s <worker_ip_address> -j ACCEPT
iptables -I INPUT -p tcp --dport 2377 -j DROP

其中，<worker_ip_address>是要允许访问Master节点的节点IP地址。第一条规则允许该IP地址访问2377端口，第二条规则则禁止所有其他节点访问2377端口。

7.2 Worker节点

在Worker节点上，可以通过以下命令来限制来自Master节点的访问：

iptables -I INPUT -p tcp --dport 2376 -s <manager_ip_address> -j ACCEPT
iptables -I INPUT -p tcp --dport 2376 -j DROP

其中，<manager_ip_address>是要允许访问Worker节点的Master节点IP地址。第一条规则允许该IP地址访问2376端口，第二条规则则禁止所有其他Master节点访问2376端口。

以上基于IP地址的访问控制规则可以保护Docker Swarm免受未授权访问，从而提高系统的安全性。访问规则也可以根据需要进行更改。

三、Docker Swarm 实践

1. 部署和扩展你的服务

Docker Swarm是一个容器编排平台，它可以帮助您在多个Docker主机之间部署和扩展您的服务。

首先，您需要安装Docker Swarm并初始化它。然后，您需要创建一个Docker服务，并在Docker Swarm中运行它。例如：

docker service create --name myservice --replicas 3 nginx

这将在Docker Swarm中创建一个名为“myservice”的服务，并将3个副本部署到不同的Docker主机上。

要扩展服务，您只需增加副本数量即可。例如：

docker service scale myservice=5

这将把“myservice”服务的副本数量增加到5个。

2. 手动调度和管理容器

在Docker Swarm中手动调度和管理容器非常简单。您可以使用Docker CLI命令来手动将容器分配到特定的Docker节点。

例如，您可以使用以下命令强制将容器部署到特定的节点：

docker service create --name myservice --replicas 3 --constraint 'node.hostname == node1' nginx

这将在名为“node1”的节点上部署3个nginx容器。

要管理容器，可以使用Docker CLI命令来列出、更新或删除容器。例如：

docker container ls
docker container update <CONTAINER-ID>
docker container rm <CONTAINER-ID>

3. 滚动更新容器

Docker Swarm使滚动更新容器非常容易。您可以先创建一个新版本的镜像，然后将其部署到Docker Swarm中。

例如，您可以使用以下命令创建新版本的镜像：

docker build -t myimage:v2 .

然后，您可以使用以下命令将该新版本的镜像部署到Docker Swarm中：

docker service update --image myimage:v2 myservice

这将滚动更新“myservice”服务的容器，使它们使用最新的版本。

4. 确保应用程序高可用性

Docker Swarm提供高可用性功能，以确保您的应用程序在任何时间都可以保持可用状态。默认情况下，Docker Swarm会自动在多个Docker节点上复制服务副本，并在节点失败时自动重新调度它们。

您可以使用以下命令来检查服务的高可用性状态：

docker service ls

如果您的服务正在运行，并且它的“REPLICAS”列显示所有的副本数目，那么您可以确认您的服务正在25/7地保持可用状态。

5. 监控和故障排除容器

Docker Swarm提供了各种监控和故障排除工具，以确保您的容器处于良好的运行状态。您可以使用Docker CLI命令来查看Docker Swarm的各种状态。

例如，要查看故障节点的状态：

docker node ls

要查看一个特定节点上，您可以在节点上运行的容器，可以使用以下命令：

docker node ps <NODE-ID>

此外，您也可以使用所提供的Docker Swarm可视化工具或第三方监控工具来监控Docker Swarm的状态并诊断问题。

6. 制定备份和恢复计划

6.1 备份 Docker Swarm 配置和数据

作为一个容器编排工具，Docker Swarm 存储所有计划的容器和服务的配置和数据。你需要备份这些数据，以便在需要时可以快速恢复 Swarm 群集。

6.2 使用 Docker Volume 来管理数据

一种简单的方法是使用 Docker Volume 来管理应用程序数据。Docker Volume 产生的数据是独立于容器的，这意味着可以轻松地备份和恢复这些数据。

6.3 使用备份工具

使用与你的 Swarm 部署兼容的备份工具可以使备份过程更加自动化和容易。例如，有一些现成的备份工具，例如 Docker Swarm Backup 和 Velero，它们可以自动备份 Swarm 群集以及它里面的所有数据。

6.4 使用容器中的特殊文件系统

Docker Swarm 的容器中也可以使用特殊的文件系统，例如 ZFS 和 Btrfs，这些文件系统具有一些高级的备份和恢复功能。

6.5 制定恢复计划

制定一个恢复计划，确保知道如何在不同情况下恢复 Swam 群集。例如，如果发生硬件故障或数据中心故障，应该有一个计划来迁移群集。

四、 Docker Swarm 安全实战

1. 扫描Docker镜像漏洞

在使用Docker Swarm时，镜像的安全性是至关重要的。因为恶意代码或漏洞可能会损害应用程序或主机。为了提高容器镜像的安全性，可以使用一些工具扫描镜像漏洞。以下是对Docker镜像进行漏洞扫描的两个开源工具：

  1. Clair

Clair是CoreOS开源的一个漏洞扫描服务，它可以与Docker Registry及其组件一起使用。Clair从容器镜像中提取特征，并与已知漏洞数据库匹配以找到潜在的漏洞。Clair的配置和使用都非常简单，需要在Docker Swarm环境中安装并配置。

  1. Anchore Engine

Anchore Engine是一种流行的开源漏洞扫描器，它可以扫描Docker镜像并在安全性方面做出建议。它提供了一个REST API，可以与容器编排工具如Docker Compose, Kubernetes和Docker Swarm一起使用。

2. 软件供应链的安全风险管理

随着容器技术不断发展，软件供应链的安全风险也越来越受到重视。供应链安全的重要性在于，攻击者可以通过在软件交付链上的任意点插入恶意代码，进而削弱软件的安全性。因此，在通过Docker Swarm部署应用程序时，需要关注软件交付链的安全性，以便确保应用程序的安全性。以下是一些软件供应链安全风险管理最佳实践：

  1. 更新镜像

在进行容器镜像扫描后，必须更新发现的漏洞。因为即使有一些漏洞并不是攻击者可以利用的，但在未来可能会出现攻击手段。

  1. 签名和验证

使用数字签名并验证所有合作伙伴所提供的容器镜像。签名是一种安全性手段，可以确保容器镜像在传输过程中不被篡改，并且是由合法的开发者或供应商提供的。

  1. 使用简化的服务

只使用你信任的开源软件或商业软件，以降低安全威胁和攻击面。

3. 应用保护和数据保密

在 Docker Swarm 中，有一些最佳实践可用于应用程序保护和数据保密。以下是一些示例：

  • 以最小的权限运行容器：在 Docker Swarm 中，需要使用最小的权限运行容器，以确保容器越受保护越好。

  • 使用服务发现：使用 Docker Swarm 内置的服务发现功能，以便掌握应用程序的整个架构，并轻松将服务部署为容器化的服务。

  • 加密数据：加密数据可以防止数据被篡改或泄露。可以使用容器密钥管理功能，用于为容器化的服务提供加密安全性。

  • 应用程序监控：监视和记录应用程序的活动和流量，以便发现潜在的安全漏洞，并及时采取措施防止安全风险。

4. 最佳实践：Docker Swarm的安全检查列表

为了确保Docker Swarm的安全性，以下是一些最佳实践：

  • 使用TLS认证和授权来管理Docker Swarm中的访问控制。
  • 保护Docker Swarm的API，可以使用TLS证书来保护。
  • 确保容器的安全性，使用最小镜像、实现最低权限原则和使用签名镜像等。
  • 配置网络策略，限制访问，防止未授权的用户访问Docker Swarm。
  • 定期更新Docker Swarm，以便使用最新的修补程序和功能更新。
  • 进行镜像漏洞扫描，使用工具如Clair或Anchore Engine来扫描Docker镜像漏洞。
  • 对于应用程序数据，可以使用加密和访问控制来保护机密信息。
  • 对于持久性存储，需要使用可靠的存储后端，如Ceph或GlusterFS等。
  • 通过采用上述安全检查列表中的最佳实践，可以确保Docker Swarm的安全性。

5. 从Docker单机迁移至Docker Swarm的常见问题和解决方案

常见问题解决方案
如何迁移数据卷？将数据卷转换为群集范围的Docker卷，并在Docker Swarm上重新创建。
如何在Docker Swarm中设置网络安全？使用Docker Swarm的网络插件，如Overlay或Weave Net，并使用TLS证书来保护网络。
如何管理Docker Swarm中的访问控制？使用TLS认证和授权来管理Docker Swarm中的访问控制。另外，在Swarm中使用RBAC角色也是建议的做法。
如何管理Docker Swarm中的应用程序？使用Docker Compose和Docker Stack等工具来管理Docker Swarm中的应用程序。
如何确保Docker Swarm中的高可用性？使用多个主节点并配置它们的高可用性功能，如Raft或etcd。

五、总结

1. Docker Swarm安全的未来之路

目前，Docker Swarm 的安全性依赖于 Docker Engine 的安全性。这就意味着，如果 Docker Engine 在默认设置的情况下是不安全的，那么 Swarm 也会是不安全的。因此，未来的 Docker Swarm 解决方案需要更加注重安全性。在未来，作为 Docker 官方的 Docker 集群解决方案，Docker Swarm 确定会进一步加强安全防护。

2. 如何保持你的Docker Swarm集群安全

在使用 Docker Swarm 时，有一些简单的安全最佳实践可以使 Docker Swarm 集群保持安全。以下是几个如何保持 Docker Swarm 集群安全的技巧：

2.1 管理访问控制

管理访问控制是保持 Docker Swarm 集群安全的关键。可以使用认证和授权方式来管理 Swarm 中的访问控制。这就意味着只有被授权的用户才能访问该 Swarm。在 Docker Swarm 中，你可以使用 TLS 认证和授权来管理访问控制。

2.2 保护 Docker Swarm API

保护 Docker Swarm API 是提高Docker Swarm安全性的重要部分。可以使用TLS证书保护Swarm的API接口。在 Docker Swarm 中，可以通过为 Docker Engine Daemons 和 Swarm Manager 配置 TLS 证书来保护 Swarm API。

2.3 限制控制台访问

控制台是 Swarm 集群的集中管理器。尽管它非常方便，但也应该限制其访问权限。只有特定的管理员应该可以访问 Docker Swarm 控制台。可以使用认证和授权方式来控制控制台的访问权限。

2.4 确保容器安全性

Docker 容器可以很容易地构建和运行，但是在运行 Docker Swarm 集群时，需要采取措施确保容器的安全性。可以使用最佳实践来确保容器的安全性，如使用最小镜像、实现最低权限原则、使用签名镜像等。

2.5 定期更新

定期更新 Docker Swarm 集群使其保持最新的版本和修补程序。这些更新包含了最新的安全修补程序和功能更新，可以提供更好的安全性和性能。

3. 结论及展望

Docker Swarm 为容器的高可用性和可扩展性带来了重要的优势和机会，但同时也提出了新的安全挑战。为了保护 Docker Swarm 集群，需要在 Docker Engine 的安全性的基础上，使用分类授权、TLS 认证和其他最佳实

践来保证 Docker Swarm 集群的安全性。未来，可以期望 Docker Swarm 解决方案会更加注重安全性，提供更多针对 Swarm 集群的安全功能和工具，并进一步加强容器的安全性。同时，用户也需要始终保持警惕，采用最佳实践来保护其 Docker Swarm 集群的安全，定期更新集群并学习最新的安全技术和趋势，以应对未来的安全挑战。

Docker容器和数据可视化管理工具Flocker

Flocker 可轻松实现 Docker 容器及其数据的管理。这是一个数据卷管理器和多主机的 Docker 集群管理工具，你可以通过它来控制数据。可用来在 Docker 中运行你的数据库、查询和 K/V 存储，并在应用中轻松使用这些服务。

技术分享图片

Flocker 同时也提供了 API 和命令行工具来进行功能的操作，你可以用它来：

部署一个多容器应用到多个主机

在不同主机之间移动容器以及对应的卷

当容器更改主机时对数据卷进行绑定和解绑

在不同的服务器之间移植本地数据卷

支持的操作系统

CentOS 7

Ubuntu 14.04

Ubuntu 15.04 (Command Line only)

OS X (Command Line only)

支持的云平台

AWS

Rackspace

支持的存储后端

AWS EBS

Rackspace Cloud Block Storage

Anything that supports the OpenStack Cinder API

EMC ScaleIO

EMC XtremIO

Local storage using our ZFS driver (currently Experimental)

以上是关于轻松管理和保障容器应用程序：Docker Swarm安全之道的主要内容，如果未能解决你的问题，请参考以下文章

Docker容器和数据可视化管理工具Flocker

Docker ——Docker基本管理

Docker可视化管理工具 - Portainer

Docker基本管理

Docker入门

Docker