루트리스 컨테이너로 서비스를 보호하기

한 Hacker News 스레드에서 일반 Docker와 rootless 컨테이너를 비교하며, rootless가 실제로 보안성을 얼마나 높이는지 논의했다.

참가자들은 포트 바인딩, 네트워크 설정, iptables, Docker Compose 호환성 같은 실무적 문제를 함께 다뤘다.

또한 no-new-privileges, distroless 이미지, 읽기 전용 컨테이너 같은 하드닝 방법도 언급됐다.

다만 rootless라도 user namespace로 인한 커널 수준 위험은 남아 있어, microVM이나 Podman/QEMU 같은 더 강한 격리가 대안으로 거론됐다.