Baineann díonú Docker le iliomadúla sraitheanna — íomháanna íosta agus iontaofa, rith gan fréamh, scanadh leochaileachta, bainistiú rúnda, teorainneacha acmhainn agus incapacachta, agus crua-dhíonú óstaigh/daemon. Tá tábhacht le sábháilteacht an choimeádtóra toisc gur féad leochaileachtaí tionchar a imirt ar an gcoimeádtóir agus ar an óstach araon.
✓ Use MINIMAL base images (alpine, distroless) → fewer packages = smaller attack surface
✓ Use TRUSTED/official images; pin specific versions/DIGESTS (not "latest")
✓ SCAN images for vulnerabilities (Trivy, docker scout, Snyk) — in CI and regularly
✓ Keep base images UPDATED (patch known CVEs)
✓ Don't include secrets or unnecessary tools in images
✓ Run as NON-ROOT (USER instruction) — a root container that's compromised is far more
dangerous (especially with host access). This is one of the most important practices.
✓ Drop capabilities (--cap-drop ALL, add only needed ones) — limit what the container can do
✓ Read-only filesystem (--read-only) where possible
✓ no-new-privileges (prevent privilege escalation)
✓ Set RESOURCE LIMITS (prevent DoS from resource exhaustion)
✓ NEVER run --privileged unless absolutely necessary (it gives near-host access)
✓ Don't bake secrets into images; use secrets management at runtime
✓ Protect the DOCKER DAEMON — the daemon runs as root; access to it = root on the host
(don't expose the Docker socket; mounting /var/run/docker.sock into a container is risky)
✓ Keep the host and Docker engine PATCHED; use minimal/hardened host OS
✓ Isolate networks; limit container-to-container and container-to-host access
✓ Consider rootless Docker / user namespaces for stronger isolation
Tá sábháilteacht choimeádtóirí Docker ina gcuid eolais dhofhéachana ar leibhéal sinsearaigh toisc gur féad leochaileachtaí coimeádtóra tionchar a imirt ar an óstach agus ar an óstach, rud a dhéanann sábháilteacht ina ghno-dhréim iliomadúla le hiarmhairtí dáiríre. Cleachtaisí sábháilteachta íomháine (íomháanna bonn íosta/iontaofa chun an dromchla ionsaithe a laghdú, pinning leagain, scanadh ar leochaileachtaí chun CVE is eol a ghabháil, íomháanna a thuairisciú) cosc ar íomháanna ionsaitheacha a loingseoireacht — foinse choitianta leochaileachtaí. Is ríthábhachtach sábháilteacht aige-ama: rith gan fréamh is ceann de na cleachtaisí is tábhachtaí toisc go bhfuil coimeádtóir fréamh-bhreactha i bhfad níos bagairt (rud a d'fhéadfadh a bheith ina thoradh ar bhriseadh óstaigh), agus incapacacht a dhrop, córais comhad inléite a úsáid, escáil pribleistí a chosc, agus gan --privileged a úsáid riamh ach go fíor-riachtanach (tugann sé inrochtain in aice-bheart an óstaigh) gach léim a chealg an fhéachaint ar a bhféadfadh ionsaitheoir a dhéanamh má bhríonn coimeádtóir — cosaint go domhain. Bainistiú rúnda (gan rúnda a bhacadh isteach in íomháanna, rúnda aige-ama a úsáid) cosc ar shraonadh creidiúnais. Sábháilteacht óstaigh agus daemon ríthábhachtach agus minic fhágtha ar lár: reannán ag rith an daemon Docker mar fhréamh, mar sin rochtain air (nó ar an tsoc Docker) i ngeall ar an dúil fréamh ar an óstach — ag déanamh cosaint a dhíonú ar an daemon, an tsoc Docker a nochtadh ar lár, agus an t-óstach a choimeád fothairgthe riachtanach, le Docker fréamh-neamhspleách agus spásanna ainmniúchán ar fáil do dhíonú níos láidre.
Ar fhad is atá coimeádtóirí ag roinn kernel an óstaigh (agus má osclaíonn coimeádtóir nó má thig host ionsaí, tá himpleachtaí dáiríre ann) agus go bhfuil feidhmchláir bhogearraí i gcoimeádtóirí foluain i dtáirgíochta, agus ar fhad is go bhfuil sábháilteacht dheas (íomháanna íosta/scanta, aige-ama gan fréamh le incapacachta teoranta, bainistiú rúnda, agus crua-dhíonú daemon/óstaigh) rud atá cosc ar bhréagadh fíor choimeádtóir agus óstaigh, tá tuiscint ar conas coimeádtóirí Docker a dhíonú ina gcuid eolais dhofhéachana ar leibhéal sinsearaigh — freagrúint dhofhéachana don dháileadh coimeádtóir táirgíochta, ina ndealaíonn na cleachtaisí sraitheanna (go háirithe rith gan fréamh agus an daemon fréamh-pribleistí a dhíonú) ar bhaol dáiríre, dáiríre a ghabhann don choimeádtóir.