Docker默认不提供容器生命周期审计功能，需通过配置守护进程日志、监听docker events或使用auditd系统级审计实现；推荐优先采用docker events持久化方案，其次为daemon日志增强与auditd合规审计。
docker 本身不提供内置的“容器生命周期审计”功能，也没有默认开启的启停历史日志记录机制。要完整追踪所有容器的启动、停止、重启、删除等操作，需结合 docker 守护进程日志、系统级审计工具（如 auditd）或第三方方案（如 docker events + 日志落盘）来实现。
以下是几种切实可行、生产环境常用的记录方式，按推荐度和完整性排序：
启用 Docker 守护进程日志并保留详细级别
Docker daemon 默认会记录容器创建、启动、停止等事件，但日志级别和输出位置需手动配置：
- 修改
/etc/docker/daemon.json，添加或确认以下配置：{ "log-level": "info", "log-opts": { "max-size": "10m", "max-file": "3" } } - 重启 Docker：
sudo systemctl restart docker - 查看日志（Ubuntu/Debian 系统）：
sudo journalctl -u docker.service -n 200 --no-pager | grep -E "(start|stop|create|destroy|kill)"
✅ 优点：零依赖，开箱即用
⚠️ 注意：日志仅保留在本地，不持久化跨重启，且无结构化字段（如容器ID、镜像名、用户）
监听 docker events 并持久化到文件或数据库
docker events 是最轻量、最实时的生命周期捕获方式，支持过滤与格式化：
-
启动一个后台监听进程，持续写入结构化日志（例如 JSON）：
docker events \ --filter 'type=container' \ --format '{{json .}}' \ >> /var/log/docker-events.log 2>/dev/null & -
加入开机自启（如用 systemd service），避免中断：
-
创建
/etc/systemd/system/docker-events-logger.service：[Unit] Description=Docker Container Lifecycle Logger After=docker.service [Service] Type=simple ExecStart=/usr/bin/sh -c 'exec docker events --filter type=container --format "{{json .}}" >> /var/log/docker-events.log 2>&1' Restart=always RestartSec=10 [Install] WantedBy=multi-user.target -
启用服务：
sudo systemctl daemon-reload sudo systemctl enable --now docker-events-logger.service
-
✅ 优点：事件粒度细（含时间戳、容器ID、状态、Actor、from 镜像）、可编程解析
⚠️ 注意：docker events不记录docker run命令原始参数（如-v,-p），只反映最终动作
使用 auditd 对 Docker CLI 和 containerd 进程做系统级审计
适用于高合规要求场景（如等保、金融审计），可追溯谁在何时执行了什么命令：
-
安装 auditd（如未安装）：
sudo apt install auditd audispd-plugins # Ubuntu/Debian
-
添加规则，监控关键二进制：
sudo auditctl -w /usr/bin/docker -p x -k docker-cli sudo auditctl -w /usr/bin/containerd -p x -k containerd-bin sudo auditctl -w /run/docker.sock -p wa -k docker-socket
持久化规则（写入
/etc/audit/rules.d/docker.rules），然后重启 auditd。-
查询审计记录：
sudo ausearch -k docker-cli -i | grep -E "(execve.*run|execve.*start|execve.*stop)"
✅ 优点：不可绕过（即使绕过
docker命令直调 socket 或 containerd API 也能捕获）
⚠️ 注意：日志体积大，需定期轮转；需熟悉ausearch/aureport工具链
补充建议：统一日志聚合与告警
- 将上述任一日志源（如
/var/log/docker-events.log）接入rsyslog、fluentd或filebeat，转发至 ELK / Loki / Splunk； - 设置告警规则，例如：
- 1 小时内某容器反复启停 ≥5 次 → 可能健康异常
- 非工作时间（22:00–06:00）有
docker run行为 → 异常操作预警
不复杂但容易忽略。
