Der Artikel beschreibt seccomp-basierte Sandboxing-Richtlinien, die durch das Standardprofil von Docker geprägt sind und hauptsächlich für unprivilegierte Benutzer statt Root-Container entwickelt wurden. Die Richtlinien sind in Kategorien unterteilt, die von systemds seccomp-Filtersätzen und OpenBSDs pledge-Versprechen inspiriert sind, und minimieren Syscalls, um die BPF-Programmgröße und den Overhead zu reduzieren.

Wichtige Richtliniengruppen umfassen Aio, Basic Io, Clock, Compat X86, Compat DB32, Compat Systemd, Compat Wine, Credentials, Credentials Extra, Credentials Mutation und CRuntime. Jede definiert einen spezifischen Satz erlaubter Syscalls, wie E/A-Operationen, Uhrfunktionen, Credential-Abfragen und Speicher- oder Thread-Verwaltung.

Die Compat X86-Richtlinie behandelt die Emulation alter ABIs und arch_prctl, während Compat Wine modify_ldt erlaubt. Credentials Mutation deckt Fähigkeits- und Identitätsänderungen ab, und CRuntime stellt sicher, dass C-Laufzeitfunktionen wie brk, mmap, mprotect, futex und getrandom für die Standardprogrammausführung verfügbar bleiben.

Schlüsselentitäten: Unternehmen: Docker