1. 使用网络模式限制访问：
Docker 提供了不同的网络模式，包括桥接网络、主机网络、自定义网络等。通过选择合适的网络模式，可以限制容器之间的通信。
- 默认桥接网络：容器可以通过容器名称或 IP 地址相互访问。
- 主机网络：容器与主机共享网络命名空间，直接使用主机的 IP 地址，但这可能降低隔离性。
2. 使用端口映射：
通过端口映射，可以将容器内部的端口映射到主机上的端口。只有通过映射的端口才能被外部访问。
docker run -d -p 8080:80 myimage
上述命令将容器内部的端口 80 映射到主机的端口 8080。
3. 使用 --link 选项（已弃用）：
- -link 选项允许将一个容器链接到另一个容器，从而实现容器之间的通信。然而，它已经被网络模式和服务发现取代。
docker run --name container2 --link container1:alias_of_container1 -d myimage2
4. 使用 Docker 网络：
使用 Docker 自定义网络，容器可以通过容器名称进行通信。同时，可以使用网络的子网、网关等属性进行更精细的控制。
docker network create mynetwork
docker run --name container1 --network mynetwork -d myimage1
docker run --name container2 --network mynetwork -d myimage2
5. 使用 --cap-add 和 --cap-drop 选项：
Docker 容器运行时默认有一组 Linux Capabilities 权限。通过 --cap-add 和 --cap-drop 选项，可以增加或减少容器的权限。
# 添加特定权限
docker run --cap-add=NET_ADMIN --name mycontainer -d myimage
# 移除特定权限
docker run --cap-drop=SYS_ADMIN --name mycontainer -d myimage
6. 使用 AppArmor 或 SELinux：
在支持的系统上，可以使用 AppArmor 或 SELinux 强化容器的安全性，限制容器对主机资源的访问。
7. 使用容器标签（Labels）：
可以使用容器标签为容器添加元数据，并通过标签进行策略控制。例如，使用 com.example.description 标签为容器添加描述信息。
docker run --label com.example.description="My Container" --name mycontainer -d myimage
这些方法可以根据具体需求组合使用，以实现对 Docker 容器的访问控制和隔离。选择合适的控制方法取决于应用程序的安全要求和部署环境。
转载请注明出处：http://www.pingtaimeng.com/article/detail/10025/Docker