基于最小权限原则制作Linux镜像，核心是构建阶段即精简基础镜像、删除非必要文件、禁用交互式shell、以非root用户运行、移除默认capabilities、限制资源与挂载权限，并强化启动时安全约束。

制作基于最小权限原则的Linux系统镜像，核心是“只保留必要、禁用默认风险、运行即受限”。不是装完系统再删东西，而是在构建阶段就拒绝冗余和特权。

精简基础镜像与运行时环境

从官方最小化镜像起步（如 Alpine 的 alpine:latest 或 Debian 的 debian:slim），避免使用带完整桌面、开发工具或预装服务的镜像。删除包管理器缓存、文档、man 手册等非运行必需文件：

• Alpine：运行 apk --no-cache add <runtime-deps>，不保留索引；构建后执行 apk del .build-deps（若临时安装编译依赖）
• Debian/Ubuntu：用 apt-get clean && rm -rf /var/lib/apt/lists/* /usr/share/doc /usr/share/man
• 禁止在镜像中保留交互式 shell（如 /bin/bash），除非调试必需；生产镜像推荐仅含 /bin/sh 或直接使用静态二进制

以非root用户身份运行主进程

容器默认以 root 启动，但应用通常无需 root 权限。在 Dockerfile 中显式创建普通用户并切换：

• 添加用户组和用户：addgroup -g 1001 -f appgroup && adduser -S appuser -u 1001
• 设置工作目录所有权：chown -R appuser:appgroup /app
• 切换用户：USER appuser:appgroup —— 此后所有指令（包括 CMD）均以该用户执行
• 确保应用二进制可被该用户执行，且监听端口 ≥1024（避开需 root 的特权端口）

禁用能力与限制资源边界

即使以非root运行，容器仍默认拥有部分 Linux capabilities（如 NET_BIND_SERVICE）。通过移除不必要的 capability 实现纵深防御：

• Docker 运行时禁用默认能力：--cap-drop=ALL
• 按需添加极小集合，例如仅开放文件锁和网络访问：--cap-add=CHOWN --cap-add=SETFCAP --cap-add=NET_BIND_SERVICE（多数 Web 应用其实只需 NET_BIND_SERVICE）
• 结合 --read-only 挂载根文件系统，仅对必要路径（如 /tmp、/run）用 --tmpfs 或 -v 显式挂载可写卷
• 限制内存/CPU：--memory=128m --cpus=0.5，防资源耗尽型攻击或误配置失控

加固启动与运行时行为

镜像本身只是起点，加固需延伸至启动参数与运行约束：

• 禁用特权模式：--privileged=false（默认即为 false，但建议显式声明）
• 关闭容器内 proc/sysfs 的敏感挂载：--security-opt=no-new-privileges 防止提权，--proc=/proc 可选挂载只读 proc 子集
• 启用 Seccomp 和 AppArmor（若宿主机支持）：使用默认安全策略文件（如 docker-default.json），或定制过滤掉 execveat、ptrace、mount 等高危系统调用
• 镜像元数据中声明最小运行要求：STOPSIGNAL SIGTERM，HEALTHCHECK 使用非特权用户执行，避免 curl 等引入额外依赖

最小权限不是功能裁剪，而是对每个组件明确“它为什么需要这个权限”。从基础镜像选择、用户隔离、能力控制到运行时约束，每层都应有依据、可验证、可审计。