ਤੁਸੀ Docker ਕਨਟੇਨਰਾਂ ਨੂੰ ਕਿਵੇਂ ਸੁਰੱਖਿਅਤ ਕਰਦੇ ਹੋ?

Question

Accepted Answer

Docker ਨੂੰ ਸੁਰੱਖਿਅਤ ਕਰਨ ਵਿੱਚ ਕਈ ਪਰਤਾਂ ਸ਼ਾਮਿਲ ਹਨ — **minimal ਅਤੇ trusted images**, **non-root ਦੇ ਤੌਰ ਤੇ ਚਲਾਉਣਾ**, **vulnerability scanning**, **secrets management**, **resource ਅਤੇ capability limits**, ਅਤੇ **host/daemon hardening**। Container security ਮਹੱਤਵਪੂਰਨ ਹੈ ਕਿਉਂਕਿ vulnerabilities ਕਨਟੇਨਰ ਅਤੇ host ਦੋਨਾਂ ਨੂੰ ਪ্ਰਭਾਵਿਤ ਕਰ ਸਕਦੀਆਂ ਹਨ।

## Image security

```text
✓ Use MINIMAL base images (alpine, distroless) → fewer packages = smaller attack surface
✓ Use TRUSTED/official images; pin specific versions/DIGESTS (not "latest")
✓ SCAN images for vulnerabilities (Trivy, docker scout, Snyk) — in CI and regularly
✓ Keep base images UPDATED (patch known CVEs)
✓ Don't include secrets or unnecessary tools in images
```

## Runtime security

```text
✓ Run as NON-ROOT (USER instruction) — a root container that's compromised is far more
  dangerous (especially with host access). This is one of the most important practices.
✓ Drop capabilities (--cap-drop ALL, add only needed ones) — limit what the container can do
✓ Read-only filesystem (--read-only) where possible
✓ no-new-privileges (prevent privilege escalation)
✓ Set RESOURCE LIMITS (prevent DoS from resource exhaustion)
✓ NEVER run --privileged unless absolutely necessary (it gives near-host access)
```

## Secrets ਅਤੇ host security

```text
✓ Don't bake secrets into images; use secrets management at runtime
✓ Protect the DOCKER DAEMON — the daemon runs as root; access to it = root on the host
  (don't expose the Docker socket; mounting /var/run/docker.sock into a container is risky)
✓ Keep the host and Docker engine PATCHED; use minimal/hardened host OS
✓ Isolate networks; limit container-to-container and container-to-host access
✓ Consider rootless Docker / user namespaces for stronger isolation
```

## ਇਹ ਮਹੱਤਵਪੂਰਨ ਕਿਉਂ ਹੈ

Docker ਕਨਟੇਨਰਾਂ ਨੂੰ ਸੁਰੱਖਿਅਤ ਕਰਨਾ ਮਹੱਤਵਪੂਰਨ senior-level ਗਿਆਨ ਹੈ ਕਿਉਂਕਿ container vulnerabilities ਕਨਟੇਨਰ ਅਤੇ **host** ਦੋਨਾਂ ਨੂੰ ਪ্ਰਭਾਵਿਤ ਕਰ ਸਕਦੀਆਂ ਹਨ, ਜਿਸ ਨਾਲ security ਇੱਕ multi-layered ਚਿੰਤਾ ਹੈ ਜਿਸ ਦੇ ਅਸਲ ਨਤੀਜੇ ਹਨ। **Image security** ਅਭਿਆਸ (minimal/trusted base images ਨਾਲ attack surface ਨੂੰ ਘਟਾਉਣਾ, versions ਨੂੰ pin ਕਰਨਾ, **vulnerabilities ਲਈ scanning** CVEs ਨੂੰ ਫੜਨ ਲਈ, images ਨੂੰ updated ਰੱਖਣਾ) exploitable images ਨੂੰ ਭੇਜਣ ਤੋਂ ਰੋਕਦੇ ਹਨ — vulnerabilities ਦਾ ਇੱਕ ਆਮ ਸਰੋਤ। **Runtime security** ਖਾਸ ਤੌਰ 'ਤੇ ਮਹੱਤਵਪੂਰਨ ਹੈ: **non-root ਦੇ ਤੌਰ 'ਤੇ ਚਲਾਉਣਾ** ਸਭ ਤੋਂ ਮਹੱਤਵਪੂਰਨ ਅਭਿਆਸਾਂ ਵਿੱਚੋਂ ਇੱਕ ਹੈ ਕਿਉਂਕਿ ਇੱਕ compromised root container ਬਹੁਤ ਵਧੇਰੇ ਖਤਰਨਾਕ ਹੈ (ਸੰਭਾਵੀ ਤੌਰ 'ਤੇ host compromise ਦੀ ਅਗਵਾਈ ਕਰਦਾ ਹੈ), ਅਤੇ **capabilities ਨੂੰ ਛੱਡਣਾ**, read-only filesystems ਦੀ ਵਰਤੋਂ ਕਰਨਾ, privilege escalation ਨੂੰ ਰੋਕਣਾ, ਅਤੇ **`--privileged` ਦੀ ਕਦੀ ਵਰਤੋਂ ਨਾ ਕਰਨਾ** ਜਦੋਂ ਤੱਕ ਪੂਰੀ ਤਰ੍ਹਾਂ ਜਰੂਰੀ ਨਾ ਹੋ (ਇਹ near-host access ਦੀ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ) ਸਭ ਸੀਮਤ ਕਰਦੇ ਹਨ ਕਿ ਇੱਕ ਹਮਲਾਵਰ ਕੀ ਕਰ ਸਕਦਾ ਹੈ ਜੇ ਇੱਕ ਕਨਟੇਨਰ ਉਲਲੰਘਨ ਹੁੰਦਾ ਹੈ — defense in depth। **Secrets management** (images ਵਿੱਚ secrets ਨੂੰ bake ਨਾ ਕਰਨਾ, runtime secrets ਦੀ ਵਰਤੋਂ ਕਰਨਾ) credential leaks ਨੂੰ ਰੋਕਦਾ ਹੈ। **Host ਅਤੇ daemon security** ਮਹੱਤਵਪੂਰਨ ਹੈ ਅਤੇ ਅਕਸਰ ਨਜ਼ਰ ਅੰਦਾਜ਼ ਕੀਤਾ ਜਾਂਦਾ ਹੈ: **Docker daemon ਰੂਟ ਦੇ ਤੌਰ 'ਤੇ ਚਲਦਾ ਹੈ**, ਇਸ ਲਈ ਇਸ ਤੱਕ access (ਜਾਂ Docker socket) ਪ੍ਰਭਾਵੀ ਤੌਰ 'ਤੇ **host ਤੋਂ root** ਮਾਤਰਾ ਹੈ — daemon ਦੀ ਸੁਰੱਖਿਆ, Docker socket ਨੂੰ expose ਨਾ ਕਰਨਾ, ਅਤੇ host ਨੂੰ patched ਰੱਖਣਾ ਜਰੂਰੀ ਹੈ, rootless Docker ਅਤੇ user namespaces ਮਜ਼ਬੂਤ isolation ਪੇਸ਼ ਕਰਦੇ ਹਨ।

ਕਿਉਂਕਿ containers ਨੇ host kernel ਨੂੰ ਸਾਂਝਾ ਕਰਦੇ ਹਨ (ਤਾਂ ਇੱਕ container escape ਜਾਂ host compromise ਦੇ ਗੰਭੀਰ ਨਤੀਜੇ ਹਨ) ਅਤੇ containerized applications ਪ੍ਰਕਾਸ਼ਤ ਵਿੱਚ ਵਿਆਪਕ ਹਨ, ਅਤੇ ਕਿਉਂਕਿ ਸਹੀ security (minimal/scanned images, non-root runtime ਸੀਮਤ capabilities ਨਾਲ, secrets management, ਅਤੇ daemon/host hardening) ਉਹ ਹੈ ਜੋ ਅਸਲ container ਅਤੇ host compromises ਨੂੰ ਰੋਕਦਾ ਹੈ, Docker ਕਨਟੇਨਰਾਂ ਨੂੰ ਸੁਰੱਖਿਅਤ ਕਰਨਾ ਸਮਝਣਾ ਮਹੱਤਵਪੂਰਨ senior-level ਗਿਆਨ ਹੈ — production container deployments ਲਈ ਇੱਕ ਮਹੱਤਵਪੂਰਨ ਜ਼ਿੰਮੇਵਾਰੀ, ਜਿੱਥੇ layered practices (ਖਾਸ ਤੌਰ 'ਤੇ non-root execution ਅਤੇ root-privileged daemon ਦੀ ਸੁਰੱਖਿਆ) containerization ਵਿੱਚ innate, ਗਮਭੀਰ security risks ਨੂੰ ਸੰਬੋਧਿਤ ਕਰਦੇ ਹਨ।