読み取り専用ルートファイルシステム
- コンテナ上のファイルシステムへの書き込みを禁止する設定
- 起動中にファイル書き込みができないため、セキュリティレベルが結構上がる
- 多くの場合、一時ファイル、PID生成、ソケットファイル生成などの挙動があるため、単純に本機能を有効にしただけでは、書き込みエラーでプロセスが上がってこないので、この辺りは調べないといけない
どのように設定すればよいか
AWS側
タスク定義に下記を追記
{
readonlyRootFilesystem = true
}
アプリケーション側
- 書き込みが必要なディレクトリのみをDockerfileのVOLUMEでマウントする
- そうすると、ホストのファイルシステムへの書き込みができるようになる。
- また、このボリュームは揮発性であるため、コンテナ削除のタイミングでボリュームも削除される
例
FROM alpine:3.11.3
RUN mkdir -p /hoge /fuga
VOLUME ["/hoge"]
DockerfileのVOLUMEパラメータ
- これ実は使ったことがなかったので少し調べた
-
docker volume lsで表示されるDocker volumeとは別物 - VOLUMEで指定したファイルシステムは他コンテナからマウントできる
- イメージ的には、Dockerで作るファイルサーバと思うと納得
- ローカルというか通常パッケージでインストールするDockerエンジンでは揮発性ではない（はず）
検証
上記のDockerfileをビルドし起動
docker run -it --name work volumetest sh
コンテナ内でテストファイルを作成
# touch /hoge/aaa /fuga/bbb
# ls -l /hoge/ /fuga/
/hoge/:
total 0
-rw-r--r-- 1 root root 0 Jan 13 01:57 aaa
/fuga/:
total 0
-rw-r--r-- 1 root root 0 Jan 13 01:57 bbb
# exit
別コンテナからVolumeをマウント
docker run --rm -it --volumes-from work alpine sh
/hogeにはファイルがあるが、/fugaにはないことが確認できる。
/ # ls /hoge
aaa
/ #
/ # ls /fuga
ls: /fuga: No such file or directory