[操作疑難] Synology 裝docker數問

jda

請問synology 裝app store入面的docker app

如果係web interface 行docker image, 會係用乜account行?
可唔可以access到synology的shared folder?

另外,
如果我ssh入去, sudo -i 去行一個docker image, 咁個image既code係唔係有root權限?
如果個image本身有問題或有漏洞被hack, hacker係唔係可以攞到root權限?

javacomhk

其實你用過docker 未？佢同一個Linux kernel 下嘅 docker image 係一樣。docker image 入面係 root。Docker image 外面就係你個 shell login 嘅權限。入到你個 shell 咪控制到你的 docker images。

至於外面嘅世界，就睇你個 docker images 行的乜，有乜app。外面入去你個 docker images 就睇你放的乜service 出來。另外你個 router 放乜嘢port 出來有冇 firewall 先係重點。

jda

第一次用咋, 所以唔係太明
我既疑問係, docker image入面既code, 可唔可以access到個host(NAS)?
如果可以, 係唔係跟docker既權限?
定係docker已經係host既kernel入面一個module, 本身已經係root?

例如我用VM, 入面行乜都好, 中左毒, 正路都唔會搞到我個host, 對嗎? docker係唔係都係咁?

觀星是答案

第一次用咋, 所以唔係太明
我既疑問係, docker image入面既code, 可唔可以access到個host(NAS)?
如果可以,  ...
jda 發表於 2022-6-22 11:00

你係 docker mount 返 docker 入面既 folder 對應返 NAS 既 folder 咪可以 access 到 NAS 內資料
e.g. [Docker] \app\share = [NAS] \Volume1\ABC\DEF

DEF 呢個 folder grant "SYSTEM" 呢個 user 有咩 rights , 個 docker 就有咩 rights

shal

docker-compose  synology support的
if docker-compose.yml is

version: "3.4"
services:
  foo:
    restart: always
    image: alpine
    command: ping localhost
    volumes:
      - /volume1/*youshare folder on synology*/dokcer/servicea/:/home

就會張你synology 內一個指定folder mount 到 docker container 內的 /home

另外dokcer is container mode 中毒只會攪到個 container root 同你mount左的folder
好小機會攪到個主系統

另外需注意synology docker 行 需要 systemd cgroupv2 好以系未support

kofz

第一次用咋, 所以唔係太明
我既疑問係, docker image入面既code, 可唔可以access到個host(NAS)?
如果可以,  ...
jda 發表於 2022-6-22 11:00

經 ssh 打 command 就可以查到路徑

via HKEPC IR Extreme 4.2.3 - Android(4.2.0)

jda

你係 docker mount 返 docker 入面既 folder 對應返 NAS 既 folder 咪可以 access 到 NAS 內資料
e.g. [Do ...
觀星是答案 發表於 2022-6-22 11:20

咁係唔係即係:
如果沒有mount的folder, 就安全, 就算docker入面有malicious code或被hack都唔驚佢會access到?
e.g. docker .... --mount type=bind,source="volume1/DOCKERDATA,destination=/app/data
咁我/volume1/MYBACKUP 佢係點都搞唔到

DEF 呢個 folder grant "SYSTEM" 呢個 user 有咩 rights , 個 docker 就有咩 rights

係唔係即係docker default係用system呢個account去run?

咁結論係唔係, 如果我sudo -i用root身份行docker 去行個image, docker 入面的image有事都只係去到mount左既folder. 如果docker自己本身有事, 咁就危險因為係root?

jda

另外dokcer is container mode 中毒只會攪到個 container root 同你mount左的folder
好小機會攪到個主系統

多謝指教, 正正係想知呢樣, 因為我部NAS本身係做PC的backup, 怕同一部機玩docker會有風險

另外需注意synology docker 行 需要 systemd cgroupv2 好以系未support

唔知呢個係乜黎

jda

經 ssh 打 command 就可以測到路徑

via HKEPC IR Extreme 4.2.3 - Android(4.2.0)
kofz 發表於 2022-6-22 12:06

請問打咩command測?

kofz

請問打咩command測?
jda 發表於 2022-6-22 12:19

基本野

用 root 權限

cd

ls

../

可以參考
https://zhidao.baidu.com/question/1800787052758786827/answer/2814480579.html

via HKEPC IR Extreme 4.2.3 - Android(4.2.0)