Docker是一种轻量级的虚拟化技术,和传统虚拟化方式相比,Docker容器内的应用进程直接运行于宿主的内核,它的内部没有自己的内核,同时也没有进行硬件的虚拟化。因此Docker容器要比传统虚拟机的虚拟化方式更加轻便。但是无论是Docker容器技术还是它依赖的底层Linux内核技术都尚未成熟,远不如同等的虚拟机技术那么久经考验。至少目前而言,容器尚未提供与虚拟机相同水平的安全保证。针对Docker的隔离性不彻底,镜像文件容易遭到篡改,容器运行不安全的问题,本文在对Docker容器现有的隔离机制和安全增强技术的分析基础之上,利用可信计算技术,提出一种Docker容器的加固方法,在容器运行的整个生命周期构建一条信任链,从而保证Docker从镜像下载到容器启动整个过程中处于一个可信安全的环境中。本文针对Docker在镜像下载期间和容器运行时进行分别度量和加固。针对镜像,本文进行三部分的度量构建信任链传递。在镜像下载阶段通过使用镜像签名机制确保下载的镜像没有在仓库受到篡改。在镜像下载到本地后,使用镜像扫描器对镜像本身进行漏洞排查。在容器启动前,通过密码算法对镜像文件进行度量,避免在本地镜像文件被篡改。容器启动后分为两部分,一部分通过搭建容器监控平台对Docker进行动态度量,使用cadvisor+influxdb+grafana实现对容器使用资源的监控。另一部分通过限制容器能力来加强容器的隔离性,包括对容器限制联网,通过设置进程黑名单限制容器内部进程使用,以及限制cpu使用,应用资源限制,限制内存使用,限制文件系统等方法实现对容器的加固。