linux - 提取 Docker.io 映像的根文件系统并在 chroot 中使用它是否安全？

Question

我最近发现了 Docker，我认为它是管理我的运行时环境的好工具。但是，我也有一些不支持 LXC 的 OpenVZ VPS，所以我正在考虑使用docker export导出图像的文件系统，将生成的 tarball 解压缩到 VPS 中的目录，然后 chroot 进入该目录并运行镜像内的服务。

这样做安全吗？Docker 对其映像的文件系统进行了哪些自定义（我可以.dockerinit第一眼看到根目录中的文件）？这种方法的任何提示和陷阱？

Answer 1

主要风险是隔离。如果您的 OpenVZ 配置正确并保证隔离，您就可以开始了。

Docker 不对文件系统做任何修改。在运行时，它将自身挂载为 .dockerinit。一旦容器启动，我们使用它来设置用户/组和网络。

在未来的版本中，docker 将支持不同的隔离后端，如 libvirt 甚至 chroot。基础镜像不会改变，所以在 OpenVZ 上使用 docker 镜像没有问题。