Linux中警告未使用默认seccomp配置

Question

在使用Docker或containerd等容器运行时，启动容器时常出现“Warning: Failed to find the default seccomp profile”或“Using default /proc/sys/kernel/unprivileged_userns_clone as fallback”的警告。此提示表明运行时未能加载默认的seccomp安全配置文件，导致容器进程可能拥有不必要的系统调用权限，增加潜在安全风险。常见原因包括seccomp支持未启用、seccomp库缺失、容器运行时配置错误或以rootless模式运行时权限受限。如何正确排查并启用默认seccomp配置，确保容器在受控的系统调用环境中运行，是保障Linux容器安全隔离的关键问题。

Answer 1

1. 问题背景与核心概念解析

在使用 Docker 或 containerd 等容器运行时，启动容器过程中常出现如下警告信息：

• Warning: Failed to find the default seccomp profile
• Using default /proc/sys/kernel/unprivileged_userns_clone as fallback

这些提示表明容器运行时未能成功加载默认的 seccomp 安全配置文件。seccomp（Secure Computing Mode）是 Linux 内核提供的一种安全机制，允许进程通过过滤系统调用（syscalls）来限制自身或子进程的行为。当该机制未被正确启用或配置时，容器内的进程可能拥有超出必要的系统调用权限，从而增加攻击面和潜在安全风险。

2. 常见原因分类与影响分析

导致上述警告的根本原因可归纳为以下几类：

原因类别	具体表现	影响程度
内核不支持 seccomp	Linux 内核版本过低或编译时未启用 CONFIG_SECCOMP	高
seccomp 库缺失	libseccomp 开发库未安装或版本过旧	中高
运行时配置错误	Docker daemon.json 配置不当或禁用了 seccomp	中
rootless 模式权限受限	非特权用户无法访问某些 procfs 节点或挂载命名空间	中
容器镜像自定义策略冲突	显式指定空或无效的 seccomp profile	中

3. 排查流程与诊断步骤

为系统性地定位并解决该问题，建议按照以下流程进行排查：

1. 确认内核是否支持 seccomp：

2. grep CONFIG_SECCOMP /boot/config-$(uname -r)

   若输出为 CONFIG_SECCOMP=y，则支持；否则需升级内核或重新编译。
3. 检查 libseccomp 是否已安装：

4. dpkg -l | grep libseccomp   # Debian/Ubuntu
   rpm -qa | grep libseccomp     # RHEL/CentOS

5. 验证 Docker 是否启用了 seccomp 支持：

6. docker info | grep -i seccomp

   正常应显示：Security Options: seccomp
7. 查看当前 daemon.json 配置：

8. cat /etc/docker/daemon.json

   确保没有设置 "default-runtime": "runc" 或显式关闭 seccomp。
9. 测试容器启动时是否应用默认 profile：

10. docker run --rm alpine sh -c 'cat /proc/self/status | grep Seccomp'

    输出为 Seccomp: 2 表示启用严格模式。

4. 解决方案与最佳实践

根据排查结果，采取对应措施修复问题：

4.1 启用内核 seccomp 支持

若内核未启用 seccomp，可通过以下方式解决：

• 升级至 4.8+ 版本的主流发行版内核
• 手动编译内核并开启 CONFIG_SECCOMP 和 CONFIG_SECCOMP_FILTER

4.2 安装或更新 libseccomp

# Ubuntu/Debian
apt-get update && apt-get install -y libseccomp-dev

# CentOS/RHEL
yum install -y libseccomp-devel

4.3 配置 Docker 默认启用 seccomp

编辑 /etc/docker/daemon.json：

{
  "features": {
    "seccomp": true
  },
  "default-ulimits": {
    "nofile": {
      "Name": "nofile",
      "Hard": 65536,
      "Soft": 65536
    }
  }
}

重启服务：systemctl restart docker

4.4 rootless 模式下的特殊处理

在 rootless 模式下，可通过以下方式缓解权限问题：

• 启用 user namespace：echo 1 > /proc/sys/kernel/unprivileged_userns_clone
• 使用 dockerd-rootless-setuptool.sh install 自动配置环境
• 确保 $XDG_RUNTIME_DIR 权限正确

5. 安全增强建议与监控机制

除了修复警告外，还应实施以下安全加固策略：

graph TD A[容器启动] --> B{是否启用 seccomp?} B -- 是 --> C[加载默认 profile] B -- 否 --> D[记录审计日志] C --> E[检查 profile 是否最小化] E --> F[拒绝危险 syscall 如 ptrace, mount, capset] D --> G[触发告警通知运维] F --> H[定期更新 profile 规则集]

推荐采用自定义 seccomp profile 以实现更细粒度控制。例如，禁止容器执行 ptrace、mount 等高危系统调用，仅保留运行所需的基本调用集合。

{
  "defaultAction": "SCMP_ACT_ERRNO",
  "syscalls": [
    {
      "names": ["rt_sigreturn", "exit_group", "exit"],
      "action": "SCMP_ACT_ALLOW"
    },
    {
      "names": ["openat", "read", "write", "close"],
      "action": "SCMP_ACT_ALLOW"
    }
  ]
}

将此 JSON 文件挂载到容器中，并通过 --security-opt seccomp=/path/to/profile.json 显式指定。