服务器权限最小化容器化需全程收敛权限：构建阶段用非root用户（如adduser创建appuser并USER切换）、运行阶段--cap-drop=ALL按需--cap-add、Kubernetes中SecurityContext设runAsNonRoot和readOnlyRootFilesystem，并辅以socket隔离与seccomp/AppArmor加固。
服务器权限最小化容器化，不是把服务塞进容器就完事，而是让每个容器只拿它真正需要的权限——不多一分，也不缺一毫。核心是把“默认高权”扭转为“显式授权”，从构建、运行到调度全程收敛权限。
构建阶段：非 root 用户 + 显式能力声明
镜像里不能留 root 运行痕迹。Dockerfile 必须创建专用用户，并用 USER 指令切换上下文：
- 用
RUN adduser -D appuser && chown -R appuser:appuser /app创建无登录能力的普通用户 - 用
USER appuser确保 CMD 启动进程归属该用户（UID 自动分配，无需硬编码） - 避免
chmod 777或chown root:root类操作；敏感路径（如配置目录）属主统一设为该用户
运行阶段：能力裁剪 + 只读文件系统
容器启动时要主动“减权”，而不是靠事后加固：
- 用
--cap-drop=ALL清空默认能力，再按需--cap-add（例如NET_BIND_SERVICE绑定 80 端口） - 禁用
--privileged，改用精准挂载：如日志采集 Agent 只读挂载/var/log:/logs:ro - 加
--read-only强制根文件系统不可写，配合--tmpfs /tmp提供必要临时空间
Kubernetes 落地：SecurityContext 全链路约束
在集群中，单靠 Docker 参数不够，必须通过 Pod 层级策略固化最小权限：
-
runAsNonRoot: true阻断所有 root 启动尝试 -
runAsUser: 1001和runAsGroup: 1001显式指定 UID/GID（与镜像内用户一致） -
readOnlyRootFilesystem: true+allowPrivilegeEscalation: false关死提权通道 - 在
capabilities.drop中填-ALL，必要时仅add如CHOWN或SYS_LOG
配套机制：Socket 访问隔离 + 安全模块加持
Agent 类容器常需访问 /var/run/docker.sock，但绝不能走 --privileged：
- 宿主机上将专用用户（如
agent）加入docker组：sudo usermod -aG docker agent - 容器启动时用
--user $(id -u agent):$(id -g agent)并挂载 socket：-v /var/run/docker.sock:/var/run/docker.sock - 启用 seccomp profile（如默认
runtime/default.json），或自定义过滤危险 syscalls（如mount、clone） - 搭配 AppArmor 策略，限制容器只能读取指定路径、监听指定端口，不依赖 SELinux 的复杂策略也能见效
