Docker容器中不应运行SSH服务；若确需临时启用，必须严格遵循最小权限、网络隔离、认证强化三重约束，且不可替代docker exec等原生管理方式。
在 Docker 容器中配置安全的 SSH 守护进程，核心原则是：**不推荐在生产容器中运行 SSH 服务**；若确有运维调试等临时需求，必须严格遵循最小权限、网络隔离、认证强化三重约束，且不能替代容器原生管理方式（如 docker exec 或 SSH over Docker socket）。
为什么容器里不该跑 SSH
SSH 守护进程（sshd）本质是长期运行的系统级服务，与容器“单进程、短生命周期、不可变镜像”的设计哲学相冲突。官方安全指南（如 Docker Bench for Security、CIS Docker Benchmark）明确建议禁用容器内 SSH：
– 容器本应通过 docker exec -it <container> /bin/sh 直接交互；
– 暴露 SSH 端口会扩大攻击面，尤其当使用密码认证或默认端口时；
– 容器重启后 SSH 密钥、用户状态难以一致化管理，易引发权限漂移。
若必须启用，先做基础加固
仅限开发/测试环境，且需满足以下全部条件：
– 使用非 root 用户启动 sshd（禁止 PermitRootLogin yes）；
– 禁用密码登录，强制密钥认证；
– 将容器根文件系统设为只读（--read-only），仅对 /run、/var/log 等必要路径挂载可写 tmpfs；
– 不映射默认端口 22，改用高位端口（如 2222），并在宿主机防火墙或云安全组中限制源 IP 段（如 203.0.113.0/24）；
– 在 Dockerfile 中显式声明用户和权限：
FROM ubuntu:22.04
RUN apt-get update && apt-get install -y openssh-server && \
mkdir -p /var/run/sshd && \
useradd -m -s /bin/bash appuser && \
echo 'appuser:securepass' | chpasswd && \
sed -i 's/#PermitRootLogin prohibit-password/PermitRootLogin no/' /etc/ssh/sshd_config && \
sed -i 's/PasswordAuthentication yes/PasswordAuthentication no/' /etc/ssh/sshd_config
COPY id_rsa.pub /home/appuser/.ssh/authorized_keys
RUN chown appuser:appuser /home/appuser/.ssh/authorized_keys && \
chmod 700 /home/appuser/.ssh && chmod 600 /home/appuser/.ssh/authorized_keys
USER appuser
CMD ["/usr/sbin/sshd", "-D"]
网络与运行时层面强制收敛
容器启动时必须叠加运行时防护策略：
– 禁用特权模式：--privileged=false（显式声明）；
– 丢弃全部 capabilities，按需添加：--cap-drop=ALL --cap-add=NET_BIND_SERVICE；
– 限制网络能力：--network=none 或自定义桥接网络，并禁用 iptables 自动管理（"iptables": false 在 /etc/docker/daemon.json 中）；
– 映射端口时绑定到特定宿主机 IP（如 -p 192.168.10.5:2222:2222），而非 0.0.0.0；
– 配合宿主机防火墙二次过滤（如 firewalld 仅放行指定 CIDR 到该端口）。
替代方案更安全、更符合 DevSecOps 实践
真正需要远程管理容器时，优先采用以下方式：
– 通过宿主机 SSH 跳转执行 docker exec：在跳板机上配置密钥登录，再运行 docker exec -u appuser myapp sh；
– 启用 Docker daemon 的 SSH 访问协议（Docker 18.09+）：docker -H ssh://user@host run nginx，无需容器开 SSH；
– 使用 Teleport 或 HashiCorp Boundary 提供带审计、会话录制、RBAC 的统一访问代理，将容器终端纳入集中治理；
– CI/CD 流水线中预置调试入口：例如 Packer 构建镜像时注入一次性 debug token，触发临时 nsenter 会话，超时自动销毁。
