Proteger Docker dos usuários do Jenkins

Question

Preciso dar aos usuários de baixo nível acesso a vários trabalhos do Jenkins e quero executar o Jenkins como um contêiner do Docker em meus hosts.

Eu entendo que se um usuário (através do sudo ou qualquer outro) puder acessar o daemon do Docker, então eu estou efetivamente desistindo do acesso de superusuário em meus hosts devido aos recursos do Docker (montar o sistema de arquivos raiz etc).

Qual é a melhor maneira de proteger meus daemons do Docker de Jenkins? Os trabalhos precisam ser capazes de iniciar contêineres etc.

O Docker 1.10 resolve isso?

    

Answer 1

Esta documentação indica que:

As of Docker 1.10 User Namespaces are supported directly by the docker daemon. This feature allows for the root user in a container to be mapped to a non uid-0 user outside the container, which can help to mitigate the risks of container breakout. This facility is available but not enabled by default.

Refer to the daemon command in the command line reference for more information on this feature. Additional information on the implementation of User Namespaces in Docker can be found in this blog post.