fluencelabs/docker-socket-proxy

Docker Socket Proxy

镜像概述

本镜像基于Alpine和HAProxy构建，是一款安全增强型Docker Socket代理工具。它通过控制Docker API的访问范围，解决直接暴露Docker socket可能导致的主机或集群权限泄露问题，为需要与Docker交互的服务提供安全中间层。

核心功能

1. 权限精细化控制：通过环境变量配置允许/拒绝Docker API的特定部分，默认拒绝高风险操作（如AUTH、SECRETS、POST/DELETE请求）。
2. 安全默认策略：默认开放无害且常用的API（EVENTS、PING、VERSION），减少不必要的权限暴露。
3. 日志可配置：支持通过LOG_LEVEL变量设置日志级别（debug/info/warning等）。
4. 多API版本兼容：适配Docker API v1.27、v1.28、v1.29、v1.30、v1.37。

使用场景

• 监控工具（如Portainer、Prometheus）需访问Docker状态但无需修改权限的场景。
• CI/CD流程中与Docker交互但需限制操作范围的服务。
• 任何需要最小化Docker API权限暴露的安全需求场景。

配置说明

通过环境变量控制API访问权限（值为1允许，0拒绝）：

• 默认允许：EVENTS、PING、VERSION
• 默认拒绝（安全关键）：AUTH、SECRETS、POST（全局限制非GET/HEAD请求）、DELETE（全局限制删除操作）
• 按需配置：CONTAINERS、IMAGES、NETWORKS等API模块，可根据服务需求开启。

部署示例

Docker Run命令

bash
docker container run \
    -d --privileged \
    --name dockerproxy \
    -v /var/run/docker.sock:/var/run/docker.sock \
    -p 127.0.0.1:2375:2375 \
    fluencelabs/docker-socket-proxy

连接测试

1. 指向代理：

bash
export DOCKER_HOST=tcp://localhost:2375

2. 验证版本（允许）：

bash
docker version

3. 尝试列容器（默认拒绝）：

bash
docker container ls # 返回403 Forbidden

安全建议

• 禁止将代理端口暴露到公网，仅在Docker内部网络使用。
• 遵循最小权限原则，仅开启服务必需的API权限。
• 该镜像不支持TLS，依赖Docker内置防火墙限制访问范围。 ===FULL_DESC===