## 缺省之外：Docker增強的控制 Docker用戶可以在缺省配置的基礎進行擴展，進一步嚴格地對應用程序使用Linux能力或修改文件等訪問進行限制。操作人員可以使用只讀文件系統來部署容器，從而顯著地限制在容器生成過程中通過隱性設備訪問來欺詐系統的潛在風險。 通過“cap_drop”功能，也可以超越缺省值來限制Docker容器的capabilities。Docker也兼容于seccomp（安全計算模式- Secure computing mode），Docker Engine源代碼樹的‘contrib“目錄中的一個例子就展示了這種集成性。使用seccomp,甚至可以使得所選擇的系統調用（syscalls）對于容器進程完全禁用。 以上描述的配置控制是作為運行環境功能提供的，它專注于隔離、構建、調度和應用程序管理機制。這允許用戶根據使用者的操作和組織需求為他們的容器調整和配置策略。