ruicesar/instrucoes_gerais
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity

docs(seguranca): documentar incidente daemon Docker root + fix aplicado na VPS 1

Browse Source 
- seguranca_deploy_user.md: corrige Pilar 2 — adiciona aviso crítico sobre
  grupo docker em instalações rootless, documenta estado correto da VPS 1 e
  registra incidente de 2026-05-14 com causa raiz e comandos de correção
- scoreodonto/deploy.md: adiciona seção de alerta Docker Duplo com sintoma
  porta 8020 bloqueada por docker-proxy zumbi e diagnóstico/solução
- clube67/arquitetura.md: adiciona regra crítica de Docker Rootless na VPS 1
  com tabela de restrições e verificação de saúde pós-manutenção

Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>
This commit is contained in:
VPS 4 Builder
2026-05-14 22:34:03 +02:00
parent bcb7c3d856
commit 131d4060fb
3 changed files with 126 additions and 4 deletions
Download Patch File Download Diff File Expand all files Collapse all files
clube67/arquitetura.md
+20
View File
@@ -248,6 +248,26 @@ Para garantir que a invasão de um container não resulte no comprometimento do
* **CAP Drop**: Remove capacidades de sistema desnecessárias ao container (ex: `NET_ADMIN`, `SYS_ADMIN`, `SYS_CHROOT`).
* **Rootless Containers**: Sempre que suportado pela aplicação, os containers devem rodar com IDs de usuário não privilegiados (non-root).
### ⚠️ Regra Crítica — Docker Rootless na VPS 1
A VPS 1 roda **Docker Rootless** (daemon como usuário `deploy`, socket em `/run/user/1000/docker.sock`). O daemon root (`docker.service`) está **desabilitado permanentemente**.
| Regra | Motivo |
|-------|--------|
| `docker.service` deve permanecer `disabled` | Daemon root + `deploy` no grupo `docker` = escalonamento de privilégios trivial |
| `deploy` NÃO deve estar no grupo `docker` | Grupo `docker` dá acesso ao socket root; basta omitir `DOCKER_HOST` para criar containers root |
| Todo script que roda na VPS 1 deve usar `DOCKER_HOST` explícito | SSH não herda variáveis de ambiente do shell do usuário por padrão |
```bash
# Verificação de saúde — executar após qualquer manutenção na VPS 1
sudo systemctl status docker # deve estar: inactive (dead)
groups deploy # não deve conter "docker"
DOCKER_HOST=unix:///run/user/1000/docker.sock docker ps # deve listar os containers ativos
```
> [!WARNING]
> Se o `docker.service` for reativado acidentalmente (ex: `apt upgrade` do pacote docker.io), ele voltará como enabled. Verificar após atualizações de sistema.
---
## 🤖 Fluxo de Auto-Cura (Self-Healing) com Grafana/Gitea