dcflachs/docker-proxy-acl

Docker Proxy ACL

Docker Proxy ACL是一个Docker Unix socket代理，用于限制端点使用到允许的部分。本镜像基于https://hub.docker.com/r/kmlucy/docker-proxy-acl/%E6%9E%84%E5%BB%BA%E3%80%82

核心功能与特性

• 限制对Docker API端点的访问，仅允许配置的端点被使用
• 通过环境变量灵活配置允许的端点
• 无需网络访问，提升安全性
• 支持多种Docker API端点控制，如容器、镜像、网络、卷等

使用场景

适用于需要限制特定服务或用户对Docker API访问范围的场景，例如：

• 限制监控服务仅访问容器状态端点
• 限制第三方应用仅能查看镜像信息而无法操作容器
• 增强Docker守护进程的访问控制安全性

使用方法

基本部署命令

bash
docker create \
--name="proxy" \
--net="none" \
-e "OPTIONS= -a containers -a version" \
-v /tmp/docker-proxy-acl:/tmp/docker-proxy-acl \
-v /var/run/docker.sock:/var/run/docker.sock \
dcflachs/docker-proxy-acl

参数说明

参数格式中，冒号分隔主机端与容器端，各参数说明如下：

• --net=none - 容器不应具有网络访问权限
• -e OPTIONS - 要启用的端点，详见下方端点选项。默认值为containers
• -v /var/run/docker.sock - Docker socket的路径（主机端挂载到容器端）
• -v /tmp/docker-proxy-acl - 新代理socket的存放路径（推荐使用/tmp）

端点选项

通过在OPTION变量中使用-a参数启用端点，可重复使用-a参数组合多个端点：

• containers - 允许访问/containers/json和/containers/{name}/json
• images - 允许访问/images/json、/images/{name}/json和/images/{name}/history
• networks - 允许访问/networks和/networks/{name}
• volumes - 允许访问/volumes和/volumes/{name}
• services - 允许访问/services和/services/{id}
• tasks - 允许访问/tasks和/tasks/{name}
• events - 允许访问/events
• info - 允许访问/info
• version - 允许访问/version
• ping - 允许访问/_ping