Установка

$ sudo apt install docker.io
Добавить пользователя в группу docker, перелогиниться.
$ sudo usermod -aG docker ПОЛЬЗОВАТЕЛЬ

Работа в условиях замкнутой программной среды (ЗПС)

Особенности работы docker-контейнеров в ОС ОСнова в условиях замкнутой программной среды (ЗПС) состоят в следующем:

Если контейнер не базируется на ОС ОСнова, для работы в режиме ЗПС, все его содержимое должно быть подписано. Это возможно сделать через наложение дампа:
$ setfattr --restore=<файл дампа>
либо через подпись всех файлов экспортированного контейнера с последующей запаковкой (с учетом расширенных атрибутов) и импортом.
Например, рассмотрим Alpine Linux :

$ docker pull alpine
$ mkdir /tmp/alpine
$ cd /tmp/alpine
$ docker export - alpine | tar - -x
$ for f in `find . -type f`
do
sudo evmctl -k <закрытый ключ> ima_sign $f
done
$ sudo tar --xattrs-include=user.pax.flags --xattrs-include=security.ima \ 
 --xattrs-include=security.NESSCTX \ 
 -C /tmp/alpine -c . | docker import - alpine-signed

Работа в условиях механизма зашиты памяти MPROTECT

В контейнерах, которые не базируются на ОС ОСнова, некоторое ПО, например Java, не будет функционировать корректно на хосте под управлением ОС ОСнова с включенным механизмом защиты памяти MPROTECT. Существует несколько способов решения данной проблемы:

1. Полное отключение механизма защиты памяти MPROTECT путем добавления параметра mprotect=off в командную строку ядра.
2. Установка в контейнер paxrat или ручная разметка исключений через
   $ sudo setfattr -n user.pax.flags -v m <filename>
   или через наложение дампа
   $ sudo setfattr --restore=<dump>
3. Использование (если в ОС образа контейнера отсутствует paxrat) устаревших утилит paxctl и/или chpax; Пример настройки Alpine и paxctl . Например, следующие инструкции в Dockerfile устанавливают paxctl, Java и проставляют исключение MPROTECT на файл /usr/bin/java:
4. FROM alpine
   RUN apk update
   RUN apk add paxctl
   RUN apk add openjdk10
   RUN paxctl -cm /usr/bin/java
5. Запуск всех контейнеров с контекстом, отключающим механизм защиты памяти MPROTECT. Для этого в файле /lib/systemd/system/docker.service в конце секции [Service] дописать:
   NESSCTX=t=30,50
   И перечитать конфигурацию, перезапустить docker.
   $ sudo systemctl daemon-reload
   $ sudo systemctl restart docker

Создание docker-образа на базе ОС ОСнова

Для создания docker-образа на базе ОС ОСнова требуется наличие первого установочного диска, или его iso образа, или доступ к сетевому репозиторию (в этом случае диск не монтируется, в приведенной команде debootstrap заменить /mnt на адрес репозитория, например https://dl.nppct.ru/onyx/stable/repos/).

Запуск контейнера:
$ docker run -it --rm onyx bash