Docker용 Seccomp 보안 프로필

보안 컴퓨팅 모드(seccomp)는 Linux 커널 기능으로, 컨테이너 안에서 실행할 수 있는 작업을 제한하는 데 사용해요. seccomp() 시스템 콜이 호출 프로세스의 seccomp 상태를 다루기 때문에, 이 기능을 통해 애플리케이션의 접근 권한을 세밀하게 제어할 수 있답니다. 다만 Docker가 seccomp로 빌드되어 있고 커널에 CONFIG_SECCOMP가 활성화되어 있어야 사용할 수 있어요.

커널이 seccomp를 지원하는지 확인하려면 다음 명령을 실행해 보세요.

$ grep CONFIG_SECCOMP= /boot/config-$(uname -r)
CONFIG_SECCOMP=y

출처: 공식문서

컨테이너에 프로필 전달하기

기본 seccomp 프로필은 seccomp로 컨테이너를 실행할 때 합리적인 기본값을 제공해요. 300개가 넘는 시스템 콜 중 약 44개를 비활성화하죠. 보호 수준은 적당하면서도 다양한 애플리케이션과 호환되도록 설계되었어요.

실질적으로 이 프로필은 허용 목록(allowlist) 방식이에요. 기본적으로 시스템 콜 접근을 거부하고, 특정 시스템 콜만 허용하죠. 프로필은 defaultAction을 SCMP_ACT_ERRNO로 정의하고, 특정 시스템 콜에 대해서만 그 동작을 재정의하는 방식으로 동작해요. SCMP_ACT_ERRNO는 Permission Denied 오류를 발생시키는 효과가 있어요. 그리고 action이 SCMP_ACT_ALLOW로 재정의된 시스템 콜 목록은 완전히 허용돼요. 마지막으로 personality 같은 개별 시스템 콜에는 특정 인자를 가진 변형만 허용하는 세부 규칙도 있어요.

seccomp는 Docker 컨테이너를 최소 권한으로 실행하는 데 아주 중요한 역할을 해요. 기본 seccomp 프로필을 변경하는 것은 권장하지 않아요.

컨테이너를 실행할 때 --security-opt 옵션으로 재정의하지 않으면 기본 프로필을 사용해요. 예를 들어, 다음처럼 정책을 명시적으로 지정할 수 있어요.

$ docker run --rm \
 -it \
 --security-opt seccomp=/path/to/seccomp/profile.json \
 hello-world

Docker CLI는 docker를 실행하는 작업 디렉터리를 기준으로 상대 프로필 경로를 해석해요. CLI가 프로필을 읽어서 그 내용을 데몬에게 보내기 때문에, 클라이언트와 데몬이 별도 호스트에서 실행되는 경우 프로필은 클라이언트 호스트에 있어야 해요.

기본 프로필에서 차단되는 주요 시스템 콜

Docker의 기본 seccomp 프로필은 허용되는 호출을 지정하는 허용 목록이에요. 아래 표는 허용 목록에 없어서 실제로 차단되는 주요 시스템 콜(전부는 아니에요)을 정리한 거예요. 각 시스템 콜이 허용 목록 대신 차단된 이유도 함께 설명할게요.

| Syscall | Description |

중요

AF_VSOCK을 차단하는 SELinux 규칙은 SELinux userspace 3.6 이상, container-selinux 정책, 그리고 Docker 데몬에 SELinux가 활성화되어 있어야 해요. RHEL 8은 더 오래된 SELinux userspace를 제공하므로 기본 패키지로는 이 규칙을 적용할 수 없어요. 영향을 받는 호스트에서는 AppArmor를 사용하거나 socketcall을 차단하는 커스텀 seccomp 프로필을 사용하세요. socketcall을 차단하면 이를 사용하는 32비트 프로그램의 네트워킹이 깨질 수 있어요.

기본 seccomp 프로필 없이 실행하기

unconfined를 전달하면 기본 seccomp 프로필 없이 컨테이너를 실행할 수 있어요.

$ docker run --rm -it --security-opt seccomp=unconfined debian:latest \
 unshare --map-root-user --user sh -c whoami

Docker용 Seccomp 보안 프로필