Capability
Capability (en anglais Linux capability) : privilège élémentaire de root sous Linux (changer de propriétaire un fichier, monter un système de fichiers, configurer le réseau...), attribuable séparément.
Linux découpe les pouvoirs de root en une quarantaine de capabilities, comme CAP_CHOWN, CAP_NET_ADMIN ou CAP_SYS_ADMIN. Un processus peut être root (UID 0) et n'en détenir qu'une partie. Docker ne laisse que 14 capabilities au root d'un conteneur.
La bonne pratique consiste à toutes les retirer (--cap-drop ALL) puis à n'ajouter que celles dont l'application a besoin.
Dans les cours
- Docker : les fondamentaux, leçon 2 : Un conteneur à la main
- Docker : les fondamentaux, leçon 12 : Sécuriser et limiter ses conteneurs