如何设置Docker容器对特定硬件的访问权限限制？

本文共计1019个文字，预计阅读时间需要5分钟。

Docker容器默认无法访问宿主机的某些设备（如/dev/sda、/dev/nvidia0、/dev/ttyUSB0等），必须显式授权才能使用。限制硬件访问的核心思路是：

用 --device 显式挂载并限定权限

这是最直接、最安全的做法。不加 `--device`，容器里根本看不到对应设备文件；加了，才真正赋予访问能力，并可细化控制。

• 语法格式：
  docker run --device <宿主机路径>:<容器内路径>[:<模式>]

• 常见模式：

  • :r：只读（如 --device /dev/sr0:/dev/sr0:r，仅允许读光驱）
  • :w：只写（极少用，一般不单独配置）
  • :rw 或省略：读写（默认，但实际操作仍受 capability 和 cgroups 约束）

• 示例：
  docker run -it --device /dev/video0:/dev/video0:r ubuntu:22.04
  容器内只能读取摄像头，不能写入或控制参数。

注意：即使挂载为 `:rw`，若容器进程没有 `SYS_ADMIN` 或 `SYS_RAWIO` capability，也无法执行某些特权操作（如格式化磁盘）。所以挂载只是第一步，不是万能通行证。

配合 --cap-drop 和 --security-opt 加强隔离

仅靠 `--device` 不足以防止越权操作，需叠加 Linux capability 和安全策略：

• 去掉高危 capability（推荐默认启用）：
  --cap-drop=ALL --cap-add=NET_BIND_SERVICE
  这样即使挂载了 /dev/mem 或 /dev/kvm，容器也无法直接访问物理内存或启动虚拟机。

• 禁用不必要设备访问（针对 devices cgroup v1）：
  --security-opt=no-new-privileges:true
  阻止容器内进程通过 setuid/setgid 提权后突破设备限制。

• 强制启用 device cgroup 规则（cgroups v2 环境下更有效）：
  Docker daemon 启动时确保 --cgroup-manager=systemd，并在容器运行时自动应用 device controller 黑白名单。

用 cgroups device controller 实现细粒度黑白名单

当需要批量控制（例如：允许访问所有 `/dev/tty*` 但禁止 `/dev/sd*`），单靠 `--device` 就不够灵活，此时应结合 cgroups 设备规则：

• 在 docker run 中指定设备白名单（需宿主机支持 cgroups v2）：
  --device-cgroup-rule='c 188:* rmw'
  表示允许主设备号 188（USB serial）的所有次设备号，且支持 read、write、mknod。

• 黑名单示例（禁止所有块设备写入）：
  --device-cgroup-rule='b *:* w'
  注意顺序：规则按添加顺序匹配，先匹配到即生效。

这类规则适合 CI/CD 构建容器、无状态服务等场景，避免因误挂载导致宿主机磁盘被意外擦写。

GPU、声卡等特殊设备的典型处理方式

这些设备通常依赖驱动和用户态库，单纯挂载设备节点还不够，还需配套环境：

• NVIDIA GPU：
  使用 nvidia-container-toolkit + --gpus all 或 --gpus device=0,1，它会自动挂载 /dev/nvidiactl、/dev/nvidia-uvm 等，并注入 CUDA 库路径。

• 声卡（ALSA）：
  --device /dev/snd:/dev/snd:rwm --group-add audio，同时确保容器内有 alsa-utils 和正确 UID/GID 映射。

• USB 设备（如 HID、串口）：
  --device /dev/ttyUSB0:/dev/ttyUSB0:rwm --device /dev/bus/usb:/dev/bus/usb:r，必要时加 --privileged（不推荐，应尽量避免）。

原则始终是：最小权限交付。能只读就不给写，能限定设备号就不放通配符，能用 capability 控制就不开 privileged。