djenriquez/sherpa

Sherpa

![]([***]

镜像概述

Sherpa镜像提供了一种简化的Docker远程API访问方式。传统启用远程API需修改守护进程配置并重启，而使用Sherpa仅需运行容器即可通过TCP访问docker.sock，同时支持细粒度权限控制。

核心功能

1. 双访问模式：支持--allow（默认隐式允许，需显式禁止特定端点）和--deny（默认隐式禁止，需显式允许特定端点）两种模式。
2. ACL规则配置：通过$CONFIG环境变量或挂载配置文件到/etc/sherpa，可定义路径、HTTP方法、来源地址的访问权限。
3. 安全增强：结合卷挂载权限与IP绑定，进一步限制API访问范围。

使用场景

• 远程管理Docker容器但不想修改守护进程配置时。
• 对Docker API进行细粒度控制（如仅允许获取容器列表、禁止删除操作）。
• 限制特定IP段访问Docker API以提升安全性。

配置说明

通过$CONFIG环境变量或挂载配置文件定义ACL规则，JSON结构如下：

json
[
    { 
        "Path" : "STRING",
        "Access": "allow|deny",
        "Methods": ["STRING"],
        "Addresses": ["STRING"]
    }
]

• Path：目标URI路径。
• Access：访问模式（allow/deny）。
• Methods：允许的HTTP方法（仅allow模式生效）。
• Addresses：允许的来源地址（支持IP段，参考NGINX allow规则，仅allow模式生效）。

部署示例

完全访问权限

bash
docker run -d \
--name sherpa \
-v /var/run/docker.sock:/tmp/docker.sock \
-p 4550:4550 \
djenriquez/sherpa --allow

仅允许GET访问容器列表

bash
docker run -d \
--name sherpa \
-e CONFIG='[
    { 
        "Path" : "/containers/json",
        "Access": "allow",
        "Methods": ["GET"]
    }
]' \
-v /var/run/docker.sock:/tmp/docker.sock \
-p 4550:4550 \
djenriquez/sherpa

禁止kill容器操作

bash
docker run -d \
--name sherpa \
-e CONFIG='[
    { 
        "Path" : "/containers/*/kill",
        "Access": "deny"
    }
]' \
-v /var/run/docker.sock:/tmp/docker.sock \
-p 4550:4550 \
djenriquez/sherpa --allow

挂载配置文件+环境变量

bash
docker run -d \
--name sherpa \
-e CONFIG='[
    { 
        "Path" : "/containers/json",
        "Access": "deny"
    }
]' \
-v `pwd`/examples:/etc/sherpa \
-v /var/run/docker.sock:/tmp/docker.sock \
-p 4550:4550 \
djenriquez/sherpa --allow

仅内部IP段访问

bash
docker run -d \
--name sherpa \
-e CONFIG='[
    { 
        "Path" : "/",
        "Access": "allow",
        "Addresses": ["10.0.0.0/8", "192.168.0.0/16", "172.0.0.0/8"]
    }
]' \
-v /var/run/docker.sock:/tmp/docker.sock \
-p 4550:4550 \
djenriquez/sherpa --allow