説明
SELinux はこの操作をブロックしていません。SELinux は、Linux システムに必須のアクセス制御ポリシーを強制するセキュリティ モジュールです。SELinux は、セキュリティ コンテキストとラベルに基づいてプロセスとユーザーのアクションを制限できます。ただし、SELinux は、ユーザーが Docker コンテナ内からシステム時刻を設定することを妨げません。ユーザーが Docker コンテナ内からシステム時刻を設定しようとして失敗する理由は、Docker コンテナがデフォルトで同じカーネルとクロックをホストと共有するためです。したがって、コンテナ内のシステム時刻を変更するには、ホスト カーネルへの特権アクセスが必要ですが、セキュリティ上の理由からデフォルトでは許可されていません。ユーザーが Docker コンテナ内からシステム時刻を設定できるようにするには、 --privileged フラグまたは --cap-add SYS_TIME フラグを指定してコンテナを実行する必要があります。参考文献:
https://docs.docker.com/engine/security/selinux/、
https://docs.docker.com/engine/reference/run/#runtime-privilege-and-linux-capabilities

説明
= 7 つのマネージャーを 3 つのデータセンターまたは可用性ゾーンに 3-3-1 のように分散させることは、高可用性とフォールト トレランスを確保するための最良の方法ではありません。これは、3 人のマネージャーがいるデータセンターの 1 つで障害が発生した場合、残りの 4 人のマネージャーにはリーダーを選出してスウォーム運用を継続するための定足数がなくなるためです。クォーラムとは、swarm 状態を維持するために使用できる必要があるマネージャーの最小数であり、(N/2) + 1 として計算されます。ここで、N はマネージャーの総数です1。7 人のマネージャーの場合、定足数は 5 であるため、3 人のマネージャーを失うと、swarm は定足数を失います。7 つのマネージャーを 3 つのデータセンターまたはアベイラビリティ ゾーンに分散するより良い方法は 2-2-3 です。これにより、いずれか 1 つのデータセンターで障害が発生しても群が生き残ることができます2。参考文献:
* Docker エンジンの群れを管理および保守する
* マネージャーノードを複数の AZ に分散

説明
署名付きイメージのクラスターへの展開を強制するのは、UCP の機能です。UCP は、Docker Content Trust を使用したイメージの署名と検証をサポートしています。これは、リモート Docker レジストリとの間で送受信されるデータにデジタル署名を使用する機能を提供する機能です。UCP を使用すると、クラスターにデプロイされるすべてのイメージが信頼できる機関によって署名されることを要求するポリシーを構成できます。こうすることで、承認され検証されたイメージのみがアプリケーションで使用されるようにすることができます。参考文献:
https://docs.docker.com/ee/ucp/admin/configure/run-only-the-images-you-trust/、
https://docs.docker.com/engine/security/trust/

説明
= コマンド docker run -add-volume /data /mydata -read-only ubuntu は、ホストの /data ディレクトリを読み取り専用モードで ubuntu コンテナにマウントしません。その理由は、コマンドにいくつかの構文エラーと無効なオプションがあるためです。ホスト ディレクトリを読み取り専用モードでコンテナにマウントするための正しいコマンドは、docker run --mount type=bind,source=/data,target=/mydata,readonly ubuntu12 です。コマンド docker run -add-volume /data /mydata -read-only ubuntu には次の問題があります。
* オプション -add-volume は、docker run の有効なオプションではありません。ボリュームまたはバインド マウントをマウントするための有効なオプションは、--mount または -v12 です。
* オプション -read-only は、docker run の有効なオプションではありません。コンテナのルート ファイルシステムを読み取り専用にするための有効なオプションは --read-only3 です。ただし、このオプションは、独自の読み取り専用オプション 12 を持つマウントされたボリュームまたはバインド マウントには影響しません。
* 引数 /data /mydata は、docker run の有効な引数ではありません。docker run の引数は、bash や ping4 など、コンテナー内で実行するコマンドである必要があります。ボリュームまたはバインド マウントのソースとターゲットは、コロン 12 で区切って --mount または -v オプションで指定する必要があります。
したがって、コマンド docker run -add-volume /data /mydata -read-only ubuntu は意図したとおりに動作せず、エラー メッセージまたは予期しない結果が生成される可能性があります。参考文献:
* バインドマウントを使用する
* ボリュームを使用する
* ドッカーの実行
* Docker 実行リファレンス