Docker の capability --cap-add 及び --cap-drop オプションについて調べた - Qiita

メモ。 以下を読ませて頂きました –cap-dropオプションを使ったDockerコンテナの安全性を高める工夫 Docker privileged オプションについて capablity について詳しい訳ではないため、認識が異なった部分などあればご指摘頂けますと助かります。 TL:DR Linux には、root が持っている絶対的な権限を小分けにし、 細かくした権限をプロセスに与えられるようにする機構がある。その細かい権限のことを、ケーパビリティ(capablity)と呼ぶらしい ケーパビリティ で権限を少しだけ与える Docker ではデフォルトでいくつかの capability は有効化されている。具体的有効化されているものは公式ドキュメントに記載ありで pscap コマンドでも確認出来る --cap-drop オプションを指定することでデフォルトで有効化されている capabili