Capability
Definizione rapida
Porzione separata dei privilegi normalmente associati all'utente root nel kernel Linux.
Spiegazione
Le capability consentono di concedere a un processo solo alcune operazioni privilegiate. Docker può rimuoverle o aggiungerle al container per ridurre o definire il potere del processo.
Esempio pratico
Un servizio che non deve modificare la configurazione di rete viene eseguito senza le capability non necessarie.
Spiegazione tecnica
Il kernel rappresenta i privilegi tramite insiemi di capability, che possono essere presenti nel processo in forme diverse. Le opzioni del runtime regolano il set disponibile al processo nel namespace del container.
Da non confondere con
Una capability non è un account o un ruolo applicativo: è un controllo del kernel sul processo.