在 Linux 容器中，通过合理设置 capability（能力），可以实现最小权限原则，提升系统安全性。直接赋予容器 root 权限风险极高，而精细控制 capability 能让容器仅获得必要特权。例如，CAP_NET_ADMIN 允许管理网络配置，但若滥用可能导致防火墙篡改或网络攻击。

理解 Linux Capability 机制

Linux 将传统 root 权限拆分为一系列独立的 capability，每个对应特定操作权限。容器默认丢弃大部分 capability，只保留少数（如 CAP_CHOWN、CAP_FSETID）。若需执行特殊操作（如配置网络接口），必须显式添加对应 capability。

CAP_NET_ADMIN 允许的操作包括：

• 修改路由表和防火墙规则（iptables/nftables）
• 创建和管理虚拟网络设备（如 tun/tap、veth）
• 设置网络命名空间参数

由于这些操作影响主机网络，应仅在必要时授予，并尽量限制作用范围。

运行容器时添加 CAP_NET_ADMIN

使用 Docker 可通过 --cap-add 参数为容器添加 capability：

Linux Security Scanner

Linux 安全审计工具，检查 SSH 配置、开放/监听端口、防火墙规则（ufw/iptables/nftables）、失败登录尝试、sudoers 权限...

下载

docker run -it --cap-add=NET_ADMIN ubuntu:20.04 sh

此命令启动的容器可执行 ip、iptables 等命令。若只需读取网络信息，不应添加该权限，避免过度授权。

对于 Kubernetes Pod，可在 securityContext 中指定：

securityContext: capabilities: add: - NET_ADMIN

注意：生产环境中应结合 NetworkPolicy 和 RBAC 控制网络变更行为。

安全建议与最佳实践

为降低风险，请遵循以下原则：

• 只在确实需要时才启用 CAP_NET_ADMIN，例如运行 CNI 插件或网络监控工具
• 避免将 CAP_NET_ADMIN 与 privileged: true 同时使用，后者会开启所有 capability
• 结合用户命名空间（userns-remap）隔离容器用户与主机用户
• 使用 seccomp 或 AppArmor 进一步限制系统调用
• 定期审计容器运行时权限，移除不再需要的 capability

基本上就这些。精准控制 capability 是容器安全的重要一环，尤其是涉及网络管理时更需谨慎。不复杂但容易忽略。