El aislamiento tiene varias dimensiones

Un contenedor puede tener poco espacio de trabajo y acceso innecesario a datos del anfitrión.

Varias dimensiones del aislamiento

Los contenedores Linux suelen compartir el núcleo del anfitrión. Los espacios de nombres separan determinadas vistas; los grupos de control contabilizan y limitan recursos. Ninguno describe por completo la autorización. También influyen los mapeos de usuarios, las capacidades, los montajes y el acceso de gestión.

Un montaje de enlace expone contenido del anfitrión al contenedor. Permitir solo lectura restringe modificaciones por ese montaje, pero conserva las lecturas autorizadas. Un proceso distinto de root puede utilizar recursos que permitan sus permisos efectivos.

Registro proporcionado: un taller de carteles

El taller ficticio autoriza al generador a leer plantillas y escribir carteles terminados. Su configuración revisada indica:

Identidad: distinta de root, con mapeo de usuario documentado.
Recursos: memoria limitada y vista de procesos separada.
Montajes: plantillas legibles; carteles modificables; nóminas legibles.
Revisión efectiva: el generador puede leer las nóminas.
Interfaz de gestión: inaccesible para el generador.

Supón que son los ajustes activos y ninguna dependencia aprobada requiere nóminas. Basta para identificar acceso innecesario. No demuestra administración ilimitada del anfitrión ni que alguien haya leído esos datos.

Ajusta la autoridad al trabajo

Propón retirar el acceso a nóminas y conservar los dos recursos necesarios. El responsable debe confirmar las entradas previstas antes del cambio.

Tu nota de aceptación debe exigir carteles generados correctamente y confirmación de que la configuración revisada ya no expone nóminas. Registra versión y revisor. Otro contenedor puede tener montajes, identidades o accesos de gestión diferentes.