Защита доступа к файловой системе докеров

Question

Мы используем докер во время разработки, и все работает хорошо. Наше программное обеспечение написано на PHP и докционировано с помощью MySQL, Apache и множества фреймворков и библиотек.

Для некоторых наших клиентов мы хотим отправить изображения докеров, чтобы они могли их тестировать, оценивать и использовать. Используя изображения докеров, нужно просто запустить контейнер и получить полностью установленную и настроенную систему - очень просто!

Но: Как мы можем избежать того, чтобы клиенты, видящие наш код, просто подключились к докеру или сделали несколько execs внутри контейнеров?

Существуют ли методы, позволяющие полностью блокировать доступ всех типов к файловой системе внутри контейнера? Мы просто хотим получить доступ через ssh к нашему программному обеспечению.

Answer 1

С помощью команды docker run можно переопределить почти все, что связано с конструкцией изображения во время выполнения. Поэтому им даже не нужно было делать exec, они могли бы просто переопределить cmd или entrypoint в bash или что-то еще. В любое время, когда клиент имеет свой код (даже скомпилированный/зашифрованный/и т. Д.), У них есть свой код. Если это действительно очень важно, подумайте о модели SaaS.