~/questoes/devops
Docker funciona através de contêineres que compartilham o kernel do sistema operacional hospedeiro, diferente de máquinas virtuais que possuem seus próprios kernels isolados. Essa arquitetura enxuta oferece eficiência, mas também introduz uma limitação crítica de segurança: vulnerabilidades no kernel afetam potencialmente todos os contêineres rodando no mesmo host.
A alternativa está correta porque identifica o trade-off fundamental da tecnologia Docker. Ao compartilhar o kernel do host, todos os contêineres dependem da mesma instância do kernel. Se uma vulnerabilidade é descoberta e explorada no kernel, isso pode comprometer a segurança de todos os contêineres daquele computador, não apenas um isoladamente.
Correta. Esta é a principal limitação de segurança do Docker. Como contêineres compartilham o kernel do host, uma falha de segurança no kernel pode afetar múltiplos contêineres simultaneamente, diferente de VMs que possuem kernels isolados.
Incorreta. Namespaces não impedem completamente a comunicação entre contêineres. Eles apenas isolam os recursos (como rede, processos e filesystems), permitindo que contêineres se comuniquem quando necessário, como em uma rede Docker.
Incorreta. Contêineres conseguem acessar o disco rígido do host quando volumes são montados explicitamente. Essa é uma funcionalidade, não uma limitação de segurança do Docker em si.
Incorreta. Docker permite sim o isolamento de usuários dentro de um contêiner através de namespaces de usuário (user namespaces). É possível executar processos com diferentes níveis de privilégio dentro de um contêiner.