Privileged Container - CI/CD用語集の定義
privileged container は --privileged で実行され、ホストカーネルのほぼすべての capability とデバイスアクセスを付与します。これは事実上 container の隔離を取り除き、ホストを制御できてしまいます。
CIでは避ける
privileged モードは Docker-in-Docker の build に使われることがありますが、共有 runner では危険です。侵害された job がホストを乗っ取る可能性があるためです。代わりに rootless ビルダーやサンドボックス化された runtime を使用してください。
関連ガイド
Rootless Container - CI/CD Glossary DefinitionRootless Container: A rootless container runs the container engine and workload as an unprivileged user by ma…
Linux Capabilities - CI/CD Glossary DefinitionLinux Capabilities: Linux capabilities split the privileges of root into distinct units (such as `CAP_NET_BIN…
seccomp - CI/CD Glossary Definitionseccomp: seccomp (secure computing mode) is a Linux kernel feature that filters which system calls a process…