DPTCloud
Quay lại danh sách
Tin tức công nghệ

Bảo mật hạ tầng Docker nâng cao: Cấu hình User Namespaces trên VPS để loại bỏ nguy cơ tấn công leo thang đặc quyền

5 tháng 6, 2026

Giới thiệu về lỗ hổng tiềm tàng trong cấu hình Docker mặc định

Trong kỷ nguyên chuyển đổi số, Docker đã trở thành tiêu chuẩn vàng cho việc triển khai ứng dụng nhờ tính linh hoạt và khả năng đóng gói mạnh mẽ. Tuy nhiên, một sự thật ít được chú ý đối với nhiều quản trị viên hệ thống là theo mặc định, tiến trình Docker daemon chạy với quyền root. Điều này dẫn đến việc các container, nếu không được cấu hình chặt chẽ, cũng sẽ thực thi các tiến trình dưới danh nghĩa người dùng root của hệ điều hành máy chủ (host).

Sự trùng lặp đặc quyền này tạo ra một bề mặt tấn công nguy hiểm. Nếu một kẻ tấn công chiếm được quyền kiểm soát container thông qua lỗ hổng ứng dụng, họ có khả năng thực hiện các cuộc tấn công Container Breakout (thoát khỏi container) để truy cập trực tiếp vào nhân hệ điều hành (kernel). Lúc này, vì tiến trình trong container đang chạy quyền root, kẻ tấn công sẽ nghiễm nhiên có đặc quyền cao nhất trên VPS của bạn, dẫn đến nguy cơ mất toàn bộ dữ liệu và quyền kiểm soát hạ tầng.

User Namespaces là gì và tại sao nó lại quan trọng?

User Namespaces (userns) là một tính năng bảo mật của Linux Kernel, cho phép cô lập các định danh người dùng (UID) và định danh nhóm (GID). Khi áp dụng vào Docker, tính năng này cho phép bản đồ hóa (mapping) người dùng root bên trong container thành một người dùng không có đặc quyền (non-privileged user) bên ngoài máy chủ.

Ví dụ: Một tiến trình chạy với UID 0 (root) bên trong container sẽ thực chất chỉ có quyền của UID 100000 trên VPS. Ngay cả khi container bị chiếm quyền, kẻ tấn công cũng không thể thực hiện các thay đổi hệ thống trên máy chủ vì chúng không có quyền root thực sự.

Việc triển khai userns-remap là bước đi chiến lược để hiện thực hóa nguyên tắc "Đặc quyền tối thiểu" (Principle of Least Privilege) trong bảo mật hạ tầng Cloud.

Hướng dẫn chi tiết cấu hình User Namespaces trên Docker

Bước 1: Kiểm tra sự hỗ trợ của Kernel

Hầu hết các bản phân phối Linux hiện đại trên VPS (Ubuntu 20.04/22.04, CentOS 7+, Debian) đều hỗ trợ User Namespaces. Bạn có thể kiểm tra bằng lệnh:

grep CONFIG_USER_NS /boot/config-$(uname -r)

Bước 2: Cấu hình file subuid và subgid

Hệ thống cần biết dải ID nào sẽ được dành riêng cho Docker. Thông thường, khi cài đặt Docker, các file /etc/subuid và /etc/subgid sẽ tự động được tạo. Bạn cần đảm bảo có các dòng tương tự sau:

  • dockremap:100000:65536

Dòng này có nghĩa là người dùng dockremap sẽ bắt đầu bản đồ hóa từ UID 100000 với dải 65.536 ID tiếp theo.

Bước 3: Kích hoạt userns-remap trong Docker Daemon

Tạo hoặc chỉnh sửa file cấu hình Docker tại đường dẫn /etc/docker/daemon.json. Thêm tham số userns-remap như sau:

{
  "userns-remap": "default"
}

Giá trị "default" sẽ yêu cầu Docker sử dụng người dùng và nhóm có tên là dockremap. Nếu người dùng này chưa tồn tại, Docker sẽ tự động tạo khi khởi động lại.

Bước 4: Khởi động lại dịch vụ và kiểm chứng

Thực hiện khởi động lại Docker để áp dụng cấu hình mới:

sudo systemctl restart docker

Sau khi khởi động lại, hãy chạy một container thử nghiệm và kiểm tra tiến trình trên máy chủ:

docker run -d --name security_test alpine sleep 1000
ps aux | grep sleep

Bạn sẽ thấy tiến trình sleep không còn chạy dưới quyền root của máy chủ mà hiển thị một UID cao (ví dụ: 100000). Điều này xác nhận rằng lớp bảo vệ User Namespace đã hoạt động thành công.

Những thách thức và lưu ý khi triển khai thực tế

Mặc dù User Namespaces mang lại lợi ích bảo mật vượt trội, các kiến trúc sư hệ thống cần lưu ý một số vấn đề tương thích:

  1. Quyền truy cập File System: Khi userns-remap được bật, các volume gắn vào container (bind mounts) sẽ gặp vấn đề về quyền sở hữu (ownership). Người dùng root bên trong container (thực chất là UID 100000) sẽ không có quyền ghi vào thư mục root trên máy chủ nếu không được phân quyền lại bằng chown.
  2. Kết nối mạng (Networking): Các chế độ mạng như --network=host sẽ không thể sử dụng đồng thời với User Namespaces vì lý do bảo mật và xung đột định danh.
  3. Lưu trữ (Storage Drivers): Một số storage driver cũ có thể không tương thích hoàn toàn. Tuy nhiên, với overlay2 (driver mặc định hiện nay), tính năng này hoạt động rất ổn định.

Tối ưu hóa bảo mật hạ tầng Docker toàn diện

Việc cấu hình User Namespaces chỉ là một phần trong chiến lược Defense in Depth (Phòng thủ đa tầng). Để đạt được mức độ bảo mật chuyên sâu cho VPS, doanh nghiệp nên kết hợp thêm các biện pháp sau:

  • Sử dụng Read-only Root Filesystem: Ngăn chặn việc sửa đổi file thực thi bên trong container bằng cờ --read-only.
  • Hạn chế Capabilities: Loại bỏ các quyền hạn không cần thiết của nhân bằng cách sử dụng --cap-drop=ALL và chỉ cho phép những quyền thực sự cần thiết.
  • Quét lỗ hổng Image: Sử dụng các công cụ như Trivy hoặc Clair để quét mã độc và lỗ hổng bảo mật trong các layer của Docker image trước khi triển khai.
  • Giám sát Runtime: Triển khai giải pháp giám sát như Falco để phát hiện các hành vi bất thường trong container theo thời gian thực.

Kết luận

Trong bối cảnh các cuộc tấn công nhắm vào hạ tầng Cloud ngày càng tinh vi, việc để Docker chạy với quyền root mặc định là một rủi ro không đáng có. User Namespaces cung cấp một rào cản vững chắc, ngăn chặn triệt để nguy cơ leo thang đặc quyền từ container ra máy chủ VPS.

Mặc dù đòi hỏi sự thay đổi trong cách quản lý quyền sở hữu tệp tin và volume, nhưng giá trị bảo mật mà nó mang lại cho hệ thống sản xuất là hoàn toàn xứng đáng. Hãy bắt đầu rà soát hạ tầng Docker của bạn và triển khai userns-remap ngay hôm nay để bảo vệ tài sản số của doanh nghiệp.