lockc

lockc 是一款用于为容器工作负载提供 MAC（强制访问控制）类型安全审计的开源软件。 lockc 存在的主要原因是容器并不隔离 。容器并不像虚拟机那样安全和隔离。默认情况下，它们会暴露大量关于宿主机的信息，并提供从容器中“逃逸”的方式。lockc 旨在为容器提供更强的隔离性，使其更加安全。 容器并不隔离 文档部分解释了这句话的含义，以及我们希望通过 lockc 限制哪些行为。 lockc 背后的核心技术是 eBPF——更确切地说，是其挂载到 LSM 钩子 上的能力。 请注意，目前 lockc...