技术博客
聚合 Linux、Windows、Kubernetes、云原生、安全运维和自动化实践，沉淀可检索、可复用的技术文章。
Docker 故障排查实战：OOM 分析、网络诊断、存储问题与容器调试技巧
系统讲解 Docker 生产环境的故障排查方法论：容器 OOM Kill 的原因定位与解决（内存泄漏 vs 配置不足）、容器网络不通的五步诊断法（DNS/路由/iptables/防火墙）、存储相关故障（磁盘满/overlay2 问题/volume 权限）、进入崩溃容器调试的方法、docker-proxy 高 CPU 问题，以及常见错误信息的含义与解决方案速查。
Docker 日志收集：Loki + Promtail 部署、Fluentd 配置与日志驱动对比
深入讲解 Docker 生产环境的日志收集方案：Loki + Promtail 轻量级日志栈的完整部署（与 Grafana 集成）、Fluentd/Fluent Bit 多路由日志聚合、Docker 日志驱动对比（json-file/journald/fluentd/loki），以及日志标签规范、日志保留策略、高基数标签的性能陷阱，和生产中常见的日志查询与告警配置。
Docker 合规与审计：等保 2.0 要求、daemon 审计日志与容器安全基线
系统讲解 Docker 生产环境的合规与审计要求：等保 2.0 三级对容器平台的具体要求（身份鉴别、访问控制、安全审计、入侵防范）、Docker daemon 的 auditd 审计配置（记录谁在何时做了什么操作）、CIS Docker Benchmark 安全基线检查（docker-bench-security 工具）、容器安全基线的自动化评估、合规扫描报告生成，以及持续合规监控方案。
Docker 监控体系：cAdvisor + Prometheus + Grafana 完整部署与核心指标
系统讲解 Docker 容器监控体系的完整搭建：cAdvisor 采集容器 CPU/内存/网络/磁盘 IO 指标原理、Prometheus 抓取配置与 Docker Daemon 指标启用、Grafana 仪表板配置（推荐 Dashboard ID）、核心告警规则（OOM/容器异常退出/资源使用率过高），以及生产环境的监控数据保留与存储优化方案。
Docker 网络安全：daemon TLS 加密、网络隔离策略与 Secrets 管理
系统讲解 Docker 网络安全的完整方案：Docker daemon 的 TLS 双向认证配置（防止未授权的 Docker API 访问）、容器网络隔离策略（内部网络、网络分段、禁用容器间通信 ICC）、Swarm Secret 与 Compose Secret 的安全管理（密文不落磁盘）、敏感数据的安全传递（环境变量的陷阱与替代方案）、Nginx 反向代理 TLS 终止，以及 Docker Socket 访问控制。
Docker 镜像供应链安全：Cosign 签名验证、SBOM 生成与内容信任
系统讲解 Docker 镜像供应链安全的完整方案：Cosign 对镜像进行密钥签名与验证（集成到 CI/CD 确保只有签名镜像才能部署）、SBOM（软件物料清单）的生成与存储（CycloneDX/SPDX 格式）、OCI Artifact 标准的 attestation 附加到镜像、Docker Content Trust（Notary v1）的配置与局限性、Sigstore 无密钥签名方案（keyless signing），以及供应链攻击的常见场景与防御策略。
Docker 运行时安全：Seccomp、AppArmor、SELinux 与 Capabilities 裁剪
深入讲解 Docker 容器运行时的安全加固机制：Seccomp（系统调用过滤）的工作原理与自定义 Profile 配置（屏蔽危险 syscall）、AppArmor Profile 定制（限制容器文件系统和网络访问）、SELinux 与 Docker 的集成（CentOS/RHEL 环境的 SELinux 标签）、Linux Capabilities 的精确裁剪（按应用需求最小化），以及 OPA/Gatekeeper 策略级别的安全基线控制。
Docker 镜像安全扫描：Trivy 集成 CI、CVE 管理与基础镜像策略
系统讲解 Docker 镜像安全扫描体系：Trivy 的本地扫描与 CI 集成（GitLab CI/GitHub Actions 阻断流水线）、扫描结果的 CVE 管理（误报处理、.trivyignore 配置、漏洞追踪）、基础镜像安全选型策略（alpine vs slim vs distroless 安全对比）、Harbor Trivy 集成（推送时自动扫描）、镜像 SCA（软件成分分析）与 SBOM 生成，以及定期漏洞扫描的自动化方案。
Docker 安全基础：非 root 用户运行、只读文件系统与最小权限原则
系统讲解 Docker 容器安全的基础实践：以非 root 用户运行容器（USER 指令、gosu/tini、UID 映射）、只读文件系统（--read-only + tmpfs 挂载临时目录）、最小权限原则（--cap-drop ALL + 按需 --cap-add、--no-new-privileges 防止提权）、安全选项配置，以及常见危险操作（--privileged/--pid=host/--network=host）的风险分析与替代方案。