seccomp是Linux内核安全机制，通过限制容器可执行的系统调用提升安全性。它默认允许read、write、exit、sigreturn，现代版本结合BPF实现细粒度控制。在Docker中可通过--security-opt加载JSON格式的profile文件，如禁止ptrace、mount等高风险调用。Kubernetes从v1.19支持该特性，需将profile置于节点/var/lib/kubelet/seccomp目录，并通过Pod注解或SecurityContext引用。配置时应平衡安全与兼容性，使用SCMP_ACT_LOG记录拦截行为，借助strace或audit log调试。合理使用可显著降低容器逃逸风险。
在容器环境中，限制应用程序能使用的系统调用是提升安全性的关键手段之一。seccomp（secure computing mode）是 Linux 内核提供的一种机制，允许你过滤进程可执行的系统调用，从而减少攻击面。通过为容器配置 seccomp profile，你可以明确允许或禁止某些系统调用，防止恶意或意外行为。
什么是 seccomp？
seccomp 是 Linux 内核的安全特性，最初设计用于将进程限制在极小的系统调用集合中，进入“安全计算模式”后，进程只能调用 read、write、exit 和 sigreturn 四个系统调用。现代 seccomp 结合 Berkeley Packet Filter (BPF) 规则，可以实现更细粒度的控制。
在容器运行时（如 Docker 或 containerd）中，seccomp 通常通过加载 JSON 格式的 profile 文件来配置，定义哪些系统调用被允许、拒绝或记录。
如何为容器配置 seccomp profile
Docker 和 Kubernetes 都支持通过 seccomp profile 限制容器的系统调用。以下以 Docker 为例说明操作流程。
1. 准备 seccomp profile 文件
seccomp profile 是一个 JSON 文件，描述了允许或拒绝的系统调用规则。Docker 默认提供了一个默认 profile（default.json），位于：
/usr/share/containers/seccomp.json 或由 Docker 自带。
你可以从默认 profile 开始修改，例如创建一个自定义文件 restricted.json，禁止危险系统调用如 ptrace、mount、chroot 等：
{
"defaultAction": "SCMP_ACT_ERRNO",
"syscalls": [
{
"names": ["ptrace", "mount", "umount2", "chroot", "pivot_root"],
"action": "SCMP_ACT_ALLOW"
},
{
"names": ["execve"],
"action": "SCMP_ACT_ALLOW"
}
]
}
defaultAction 设置默认动作为返回错误（ERRNO），只有显式列出的系统调用才会被允许。
2. 使用 Docker 运行容器并加载 profile
使用 --security-opt 参数指定 seccomp profile：
docker run --rm \ --security-opt seccomp=./restricted.json \ your-image
如果未指定，Docker 使用默认 profile；设置为 unconfined 则禁用 seccomp：
--security-opt seccomp=unconfined
在 Kubernetes 中使用 seccomp
Kubernetes 从 v1.19 开始支持 seccomp 作为 Beta 特性，v1.25 起 GA。你可以通过 Pod 注解或 SecurityContext 指定 profile。
1. 将 profile 加载到节点
seccomp profile 需要预先放在每个节点的 /var/lib/kubelet/seccomp 目录下，例如：
/var/lib/kubelet/seccomp/restricted.json
2. 在 Pod 中引用 profile
通过注解方式：
apiVersion: v1
kind: Pod
metadata:
name: secure-pod
annotations:
container.seccomp.security.alpha.kubernetes.io/hello: runtime/default
spec:
containers:
- name: hello
image: busybox
command: [ "sh", "-c", "sleep 3600" ]
或使用更精确的路径：
container.seccomp.security.alpha.kubernetes.io/hello: localhost/restricted.json
Kubernetes 支持以下前缀：
- runtime/default：使用容器运行时的默认 profile
- localhost/：引用节点上 /var/lib/kubelet/seccomp 下的文件
常见限制建议与调试技巧
配置 seccomp profile 时需平衡安全性与应用兼容性。过于严格的规则可能导致应用崩溃。
- 禁止高风险系统调用：如 ptrace（可用于调试和注入）、mount、capset、chroot 等，除非明确需要
- 允许基本调用：read、write、openat、close、execve 等通常是必需的
- 使用日志辅助调试：设置 SCMP_ACT_LOG 可记录被拦截的调用，帮助分析问题
- 逐步收紧策略：先使用宽松 profile，通过日志观察实际调用，再逐步限制
若容器启动失败，检查日志中是否有 “Operation not permitted”，可能是被 seccomp 拦截。可通过 strace 或 audit log 分析具体调用。
基本上就这些。合理使用 seccomp profile 能显著降低容器逃逸风险，是构建安全容器环境的重要一环。不复杂但容易忽略。
