datadog/docker-filter

Datadog Docker Socket Filter

注意：该仓库已被弃用。

镜像概述

Datadog Docker Socket Filter 是一个基于 HAProxy 的过滤代理，用于提供对 Docker 管理 socket 的只读访问权限。它通过 HTTP 代理机制过滤 Docker API 请求，只允许特定的安全只读操作，从而降低直接暴露 Docker socket 带来的安全风险。

核心功能与特性

• 只读访问控制：仅允许 GET 和 HEAD HTTP 请求方法，阻止所有可能修改系统状态的 POST、PUT 和 DELETE 请求
• URL 白名单机制：通过预定义的 URL 白名单过滤，禁止访问可能被利用的危险端点
• 安全隔离：在 /safe-docker 目录创建安全 socket，与原始 Docker socket 隔离
• 轻量级实现：基于 HAProxy 构建，资源占用低且性能高效
• 无需 SSL 证书：避免了 Docker 授权子系统所需的 SSL 客户端证书配置复杂性

使用场景与适用范围

解决的问题

Docker 引擎没有专门的监控接口，只能通过管理 socket 访问容器/镜像/卷等信息。直接暴露 Docker socket (/var/run/docker.sock) 存在严重安全风险，因为所有发送到该 socket 的命令都以 root 权限执行，可能被***者利用作为权限提升途径。

Docker 官方的https://docs.docker.com/engine/extend/plugins_authorization/%E5%AD%98%E5%9C%A8%E4%BB%A5%E4%B8%8B%E7%BC%BA%E7%82%B9%EF%BC%9A

• 需要 SSL 客户端证书认证，目前不支持 Unix socket
• 不是 Docker 引擎内置功能，需要额外安装配置第三方软件
• 证书链配置门槛高

适用场景

为需要访问 Docker API 获取监控数据的应用（如 Datadog Agent）提供安全的只读访问通道，同时防止潜在的权限滥用和安全风险。

工作原理

Docker 管理 API 是标准的 https://docs.docker.com/engine/api/latest/%EF%BC%8C%E5%8F%AF%E9%80%9A%E8%BF%87 HTTP 代理进行过滤。该容器使用 HAProxy 提供 API 的只读访问，通过在 /safe-docker 挂载的共享卷中创建安全 socket 实现：

1. 请求方法过滤：仅允许 GET/HEAD 请求，所有修改系统状态的操作（POST、PUT 或 DELETE）均被阻止
2. URL 白名单：通过白名单过滤 URL，禁止访问可能被用于权限提升（如通过 websocket 附加容器）或导致 DoS ***（如磁盘/网络密集型只读操作）的端点

经过过滤的安全端点可通过安全 socket 供监控软件访问。

使用方法

前提条件

• Docker Engine 已安装并运行
• 具有适当权限的用户（能够访问 Docker socket）

Docker Compose 部署

参考示例 docker-compose 文件进行部署：

yaml
version: '3'
services:
  docker-filter:
    image: docker.xuanyuan.run/datadog/docker-filter:latest
    volumes:
      - /var/run/docker.sock:/var/run/docker.sock
      - safe-docker:/safe-docker
    # 其他配置...

volumes:
  safe-docker:

手动运行

bash
docker run -d \
  --name docker-filter \
  -v /var/run/docker.sock:/var/run/docker.sock \
  -v safe-docker-volume:/safe-docker \
  docker.xuanyuan.run/datadog/docker-filter:latest

配置说明

主要配置文件

• HAProxy 配置：docker/haproxy.cfg
  • 定义请求方法过滤规则
  • 设置代理转发规则
• URL 白名单：docker/url-whitelist.lst
  • 定义允许访问的安全 API 端点
  • 阻止可能存在风险的 API 端点

安全 Socket 访问

安全的 Docker API Socket 位于共享卷的 /safe-docker 目录下，可挂载到需要访问 Docker API 的监控容器中使用。

故障排除

在 docker-filter 容器内部，可以访问 haproxy.sock 进行故障排查。有关如何使用 HAProxy socket 进行故障排除的更多信息，请参阅 https://www.datadoghq.com/blog/how-to-collect-haproxy-metrics/#socket-communication 中的 "Socket 通信" 部分。

注意事项

• 该解决方案仅提供基础的安全过滤，不能替代完整的安全策略
• 定期更新容器镜像以获取最新的安全规则和修复
• 监控安全 socket 的访问日志，检测异常访问模式

参考资料

• https://docs.docker.com/engine/api/latest/
• https://www.haproxy.org/
• https://docs.docker.com/engine/extend/plugins_authorization/