# 查看容器进程的 SELinux 标签
podman run --rm alpine cat /proc/1/attr/current
# system_u:system_r:container_t:s0:c123,c456

# 查看宿主机上的容器文件标签
ls -Z /var/lib/containers/storage/
# system_u:object_r:container_file_t:s0:c123,c456 ...

# 查看 SELinux 状态
getenforce
# Enforcing / Permissive / Disabled

# 临时切换为 Permissive（调试用）
sudo setenforce 0

# 恢复 Enforcing
sudo setenforce 1

# 永久配置
sudo vi /etc/selinux/config
# SELINUX=enforcing

# SELinux 阻止容器访问未标记的目录
# 容器内报错: Permission denied

# 解决方案：使用 :Z 或 :z 标签
podman run -v /data:/data:Z myapp        # :Z 私有标签
podman run -v /shared:/shared:z app1     # :z 共享标签
podman run -v /shared:/shared:z app2     # 多容器共享

# 手动标记目录
sudo semanage fcontext -a -t container_file_t "/data(/.*)?"
sudo restorecon -R /data

# 查看容器相关的 SELinux 布尔值
getsebool -a | grep container

# 常用布尔值
# container_connect_any — 允许容器连接任何端口
# container_manage_cgroup — 允许容器管理 cgroup
# container_use_cephfs — 允许容器使用 CephFS

# 设置布尔值（允许容器连接任何端口）
sudo setsebool -P container_connect_any on

# 查看默认阻止的系统调用
podman info | grep -A5 seccomp

# 被阻止的系统调用包括：
# - mount / umount2 — 防止挂载文件系统
# - reboot — 防止重启系统
# - kexec_load — 防止加载新内核
# - open_by_handle_at — 绕过文件权限
# - init_module / finit_module — 加载内核模块
# - ptrace — 调试其他进程

// custom-seccomp.json
{
    "defaultAction": "SCMP_ACT_ERRNO",
    "architectures": ["SCMP_ARCH_X86_64"],
    "syscalls": [
        {
            "names": [
                "accept", "access", "arch_prctl", "bind", "brk",
                "chdir", "chmod", "chown", "clock_gettime",
                "close", "connect", "dup", "dup2", "dup3",
                "epoll_create1", "epoll_ctl", "epoll_wait",
                "execve", "exit", "exit_group",
                "fchmod", "fchown", "fcntl", "fstat", "futex",
                "getcwd", "getdents64", "getpid", "getppid",
                "getuid", "ioctl", "listen", "lseek",
                "madvise", "mmap", "mprotect", "munmap",
                "nanosleep", "newfstatat", "openat",
                "pipe2", "poll", "prctl", "pread64",
                "read", "readlink", "recvfrom", "rename",
                "rt_sigaction", "rt_sigprocmask",
                "sendto", "set_robust_list", "set_tid_address",
                "setsockopt", "socket", "stat", "statfs",
                "tgkill", "umask", "unlink", "wait4", "write",
                "writev"
            ],
            "action": "SCMP_ACT_ALLOW"
        }
    ]
}

# 使用自定义 seccomp Profile
podman run --security-opt seccomp=custom-seccomp.json myapp

# 禁用 seccomp（仅调试，不推荐生产）
podman run --security-opt seccomp=unconfined myapp

# 查看容器的默认 Capability
podman run --rm alpine cat /proc/1/status | grep Cap
# CapPrm: 00000000a80425fb
# CapEff: 00000000a80425fb

# 解码
capsh --decode=00000000a80425fb
# 0x00000000a80425fb=cap_chown,cap_dac_override,cap_fowner,
# cap_fsetid,cap_kill,cap_setgid,cap_setuid,cap_setpcap,
# cap_net_bind_service,cap_net_raw,cap_sys_chroot,cap_mknod,
# cap_audit_write,cap_setfcap

# 移除所有 Capability，只添加需要的
podman run --cap-drop=ALL --cap-add=NET_BIND_SERVICE \
    --name web nginx:1.27-alpine

# 添加特定 Capability
podman run --cap-add=SYS_PTRACE mydebugger:latest

# 常用 Capability 说明

# 查看容器 Capability
podman exec web capsh --print

# 生产推荐：先 drop ALL，再按需 add
podman run --cap-drop=ALL \
    --cap-add=CHOWN \
    --cap-add=SETUID \
    --cap-add=SETGID \
    --cap-add=NET_BIND_SERVICE \
    myapp:latest

# 只读根文件系统 + tmpfs
podman run -d --name app \
    --read-only \
    --tmpfs /tmp:rw,size=100m,mode=1777 \
    --tmpfs /run:rw,size=50m \
    -v app-data:/app/data:Z \
    myapp:latest

# 优势：
# 1. 防止恶意写入文件系统
# 2. 容器内的恶意进程无法持久化
# 3. 强制应用设计为无状态

# 在 Quadlet 中使用
# app.container
[Container]
ReadOnly=true
Tmpfs=/tmp:size=100m
Tmpfs=/run:size=50m

# 默认：Rootless 使用用户命名空间映射
podman run --rm alpine id
# uid=0(root) gid=0(root)

# keep-id：容器内 UID/GID 与宿主机用户一致
podman run --rm --userns=keep-id alpine id
# uid=1000 gid=1000
# 适用于开发环境，避免文件权限问题

# auto：自动分配映射
podman run --rm --userns=auto alpine id
# uid=0(root) gid=0(root)（但在独立的映射范围内）

# 指定 UID/GID 映射
podman run --rm --userns=keep-id:uid=1000,gid=1000 alpine id

# host：使用宿主机命名空间（放弃隔离）
podman run --rm --userns=host alpine id
# uid=0(root) gid=0(root)（宿主机 root，危险！）

# 不同用户运行容器，天然隔离
alice$ podman run -d --name app1 myapp:v1
bob$ podman run -d --name app2 myapp:v2

# 容器存储完全隔离
# alice: ~/.local/share/containers/storage/
# bob:   ~/.local/share/containers/storage/

# 使用 Trivy 扫描镜像漏洞
podman images
trivy image nginx:1.27-alpine

# 使用 Grype 扫描
grype nginx:1.27-alpine

# 扫描本地构建的镜像
trivy image myapp:v1.0

# 镜像安全等级对比

# 使用 distroless 作为最终镜像
FROM golang:1.23 AS builder
WORKDIR /src
COPY . .
RUN CGO_ENABLED=0 go build -o /app

# 最终镜像：无 Shell、无包管理器
FROM gcr.io/distroless/static
COPY --from=builder /app /app
USER nonroot:nonroot
ENTRYPOINT ["/app"]

# 使用 cosign 验证镜像签名
# 安装 cosign
# brew install cosign (macOS)
# sudo dnf install cosign (Fedora)

# 验证签名
cosign verify \
    --certificate-identity-regexp='.*' \
    --certificate-oidc-issuer-regexp='.*' \
    ghcr.io/sigstore/cosign/cosign

# Podman 配置镜像签名策略
# /etc/containers/policy.json
{
    "default": [{"type": "insecureAcceptAnything"}],
    "transports": {
        "docker": {
            "registry.example.com": [
                {
                    "type": "signedBy",
                    "keyType": "GPGKeys",
                    "keyPath": "/etc/pki/rpm-gpg/RPM-GPG-KEY-example"
                }
            ]
        }
    }
}

#!/bin/bash
# security-audit.sh — 容器安全审计脚本

echo "=== 容器安全审计 ==="

# 1. 检查是否有特权容器
echo "--- 特权容器 ---"
podman ps --format '{{.Names}}' | while read name; do
    privileged=$(podman inspect "$name" --format '{{.HostConfig.Privileged}}')
    if [ "$privileged" = "true" ]; then
        echo "⚠️  $name 运行在特权模式！"
    fi
done

# 2. 检查是否有容器以 root 运行
echo "--- Root 容器 ---"
podman ps --format '{{.Names}}' | while read name; do
    user=$(podman inspect "$name" --format '{{.Config.User}}')
    if [ -z "$user" ] || [ "$user" = "root" ] || [ "$user" = "0" ]; then
        echo "⚠️  $name 以 root 用户运行"
    fi
done

# 3. 检查端口暴露
echo "--- 端口暴露 ---"
podman ps --format 'table {{.Names}}\t{{.Ports}}'

# 4. 检查卷挂载
echo "--- 卷挂载 ---"
podman ps --format '{{.Names}}' | while read name; do
    mounts=$(podman inspect "$name" --format '{{range .Mounts}}{{.Source}}:{{.Destination}} {{end}}')
    if echo "$mounts" | grep -qE '^/(etc|var/run|proc|sys|dev)'; then
        echo "⚠️  $name 挂载了敏感宿主机目录: $mounts"
    fi
done

# 5. 检查 Capability
echo "--- 额外 Capability ---"
podman ps --format '{{.Names}}' | while read name; do
    caps=$(podman inspect "$name" --format '{{.HostConfig.CapAdd}}')
    if [ "$caps" != "[]" ] && [ -n "$caps" ]; then
        echo "⚠️  $name 添加了额外 Capability: $caps"
    fi
done

echo "=== 审计完成 ==="