Какой доступ контейнер имеет к ядру хоста и чем опасен режим --privileged?

Все контейнеры работают на общем ядре хоста — отдельного ядра у контейнера нет. --privileged снимает почти все ограничения: контейнер получает полный доступ к ядру и устройствам хоста.

Ещё вопросы по теме «Docker»

• Кейс: нужно передать образ коллеге без registry. Как?
• Чем подход docker run + скрипт + docker commit плох по сравнению с Dockerfile?
• Какие существуют практики безопасного хранения секретов при сборке и запуске контейнеров (Docker Secrets, BuildKit --secret, Vault)?
• Что такое Kata Containers и чем они отличаются от обычных контейнеров с точки зрения безопасности?
• Что делать, если Docker Daemon не запущен или не хватает прав на файл сокета?
• Как зайти внутрь запущенного контейнера для отладки, если в нем нет оболочки (shell)?