11notes/socket-proxy

SOCKET-PROXY

镜像概述和主要用途

SOCKET-PROXY是一个安全访问Docker socket的代理镜像，旨在通过只读权限、非root用户运行及无发行版(distroless)设计，增强容器环境中Docker socket的访问安全性。该镜像将Docker socket代理为只读模式，暴露的代理socket以1000:1000用户组运行，同时可选启动TCP端点(2375端口)用于代理访问。适用于需要限制Docker socket访问权限的场景，如反向代理、容器管理工具等，可有效降低直接暴露Docker socket带来的安全风险。

核心功能和特性

• 非root运行：代理进程以1000:1000用户组运行，避免root权限暴露
• 无发行版设计：基于distroless，不含shell，减少***面
• 只读权限：容器以只读模式运行，增强文件系统安全性
• 自动更新：通过CI/CD自动更新至最新版本
• 健康检查：内置健康检查机制，确保服务可用性
• CVE扫描：发布前后自动扫描漏洞，保障镜像安全性
• 精简体积：基于scratch构建，镜像体积极小
• 安全CI/CD：通过安全固定的CI/CD流程构建，确保镜像完整性

使用场景和适用范围

• 反向代理集成：与Traefik、Nginx等反向代理配合，安全获取Docker容器信息
• 容器管理工具：为需要访问Docker socket的管理工具提供受限访问通道
• 多容器环境：在微服务架构中，限制不同服务对Docker socket的访问权限
• 安全敏感场景：适用于对容器安全性要求较高的生产环境，降低权限滥用风险

使用方法和配置说明

Docker Compose示例

以下是与Traefik配合使用的docker-compose示例：

yaml
name: "reverse-proxy"
services:
  socket-proxy:
    # 用于将Docker socket以只读方式暴露给Traefik
    # 详情参见https://github.com/11notes/docker-socket-proxy
    image: "11notes/socket-proxy:2.1.6"
    read_only: true  # 只读模式运行
    user: "0:0"      # 根据实际Docker socket权限调整UID/GID，错误时容器会提示正确值
    environment:
      TZ: "Europe/Zurich"  # 设置时区
    volumes:
      - "/run/docker.sock:/run/docker.sock:ro"  # 挂载Docker socket(只读)
      - "socket-proxy.run:/run/proxy"           # 代理socket存储卷
    restart: "always"

  traefik:
    depends_on:
      socket-proxy:
        condition: "service_healthy"  # 依赖socket-proxy健康状态
        restart: true
    image: "11notes/traefik:3.5.0"
    read_only: true
    # 省略Traefik其他配置...
    volumes:
      - "socket-proxy.run:/var/run"  # 挂载代理socket
    # 省略其他配置...

volumes:
  socket-proxy.run:  # 代理socket存储卷

networks:
  # 省略网络配置...

UID/GID设置说明

若Docker socket权限与容器用户不匹配，容器会输出错误提示并建议正确的UID/GID配置，例如：

shell
socket-proxy-1  | 2025/03/26 10:16:33 can’t access docker socket as GID 0 owned by GID 991
socket-proxy-1  | please change the user setting in your compose to the correct UID/GID pair like this:
socket-proxy-1  | services:
socket-proxy-1  |   socket-proxy:
socket-proxy-1  |     user: "0:991"

需根据提示调整user字段。

TCP端点配置

默认不暴露TCP端点，如需启用，需在compose中添加端口映射：

yaml
ports:
  - "2375:2375/tcp"  # 暴露TCP代理端点

禁止访问的API端点

即使通过GET请求，以下Docker API端点仍被阻止访问，增强安全性：

• GET /containers/{id}/attach/ws
• GET /containers/{id}/export
• GET /containers/{id}/archive
• GET /secrets
• GET /configs
• GET /swarm/unlockkey
• GET /images/{name}/get

环境变量配置

镜像标签说明

主要标签

• https://hub.docker.com/r/11notes/socket-proxy/tags?name=2.1.6%EF%BC%9A%E7%A8%B3%E5%AE%9A%E7%89%88%E6%9C%AC%E6%A0%87%E7%AD%BE

关于标签的说明

• 无latest标签：避免因突发版本变更导致的兼容性问题。建议使用语义化版本标签，如:2(固定主版本)、:2.1(固定次版本)
• 滚动更新标签：如需最新版本，可使用:rolling标签，但可能包含破坏性变更，风险自负

镜像仓库

可从以下仓库拉取镜像：

shell
docker pull 11notes/socket-proxy:2.1.6
docker pull ghcr.io/11notes/socket-proxy:2.1.6
docker pull quay.io/11notes/socket-proxy:2.1.6

源码与父镜像

• 源码地址：https://github.com/11notes/docker-SOCKET-PROXY
• 父镜像：基于https://hub.docker.com/_/scratch%E6%9E%84%E5%BB%BA%EF%BC%8C%E5%8C%85%E5%90%ABhttps://github.com/11notes/docker-distroless/blob/master/arch.dockerfile%E5%B1%82(%E6%8F%90%E4%BE%9B%E7%94%A8%E6%88%B7%E3%80%81%E6%97%B6%E5%8C%BA%E5%8F%8A%E6%A0%B9%E8%AF%81%E4%B9%A6)

使用建议

• 配合反向代理(如Traefik、Nginx)使用，终止TLS并保护端点
• 使用Let’s Encrypt DNS-01挑战获取SSL证书，增强传输安全性
• 定期更新镜像标签至最新稳定版本，确保安全补丁已应用
• 根据Docker socket实际权限调整user配置，容器启动错误时会提示正确UID/GID