Docker特权模式：--privileged、--cap-add、--cap-drop

概述

由于docker容器的隔离是基于Linux的Capability机制实现的, Linux的Capability机制允许你将超级用户相关的高级权限划分成为不同的小单元. 目前Docker容器默认只用到了以下的Capability

CHOWN, 
DAC_OVERRIDE, 
FSETID, 
FOWNER, 
MKNOD, 
NET_RAW, 
SETGID,  
SETUID, 
SETFCAP, 
SETPCAP, 
NET_BIND_SERVICE, 
SYS_CHROOT, 
KILL, 
AUDIT_WRITE

因此想要更高的权限，就需要在docker run时使用--privileged或--cap-add参数。

1. docker使用--privileged、--cap-add、--cap-drop来对容器本身的能力进行开放或限制，使用 --cap-add、--cap-drop可以添加或禁用特定的权限；

2. --privileged参数也可以达到开放权限的作用, 与--cap-add的区别就是， --privileged是将所有权限给容器；

–privileged

docker官网对--privileged的解释：

--privileged      Give extended privileges to this container

–cap-add、–cap-drop

--cap-add		Add Linux capabilities
--cap-drop		Drop Linux capabilities