Dockerでリードオンリーコンテナを使用する方法

Docker のバージョン1.5からリードオンリーコンテナがサポートされ、--read-onlyフラグを使用して、リードオンリーファイルシステムを有効にできます。

読み方

概要

リードオンリーコンテナは、セキュリティモデルのための機能です。リードオンリーということは、改ざん不能です。

$ sudo apt install docker.io

リードオンリーコンテナを作成する例です。

sudo docker run --read-only -t -i ubuntu /bin/bash

以下は、実行例ですが、ファイルシステムに書き込みをしようとするとエラーになります。

$ sudo docker run --read-only -t -i  ubuntu sh -c 'echo test > /tmp/test.txt'
sh: 1: cannot create /tmp/test.txt: Read-only file system

$ sudo docker run --read-only -t -i  ubuntu /bin/bash
root@faf905cf48cc:/# touch a
touch: cannot touch 'a': Read-only file system

以上のように簡単にリードオンリーコンテナを作成できます。

書き込み用のボリュームを設定することもできます。

$ sudo docker run --read-only -v `pwd`:/work -t -i ubuntu sh -c 'echo test > /work/test.txt'
$ ls
test.txt