Bảo mật Portainer chuẩn production: HTTPS, RBAC, 2FA, backup

ufw allow 443/tcp
ufw allow from YOUR_ADMIN_IP to any port 22
ufw deny 9000/tcp
ufw deny 9443/tcp
ufw enable

ports:
  - "127.0.0.1:9443:9443"

services:
  portainer:
    image: portainer/portainer-ce:lts
    container_name: portainer
    restart: unless-stopped
    ports:
      - "9443:9443"
    volumes:
      - /var/run/docker.sock:/var/run/docker.sock
      - portainer_data:/data

volumes:
  portainer_data:

Ưu điểm: đơn giản. Nhược: quản lý cert, renewal, header bảo mật kém linh hoạt hơn reverse proxy.

Dùng reverse proxy + Let’s Encrypt

Khuyến nghị production: TLS terminate tại reverse proxy.

Ví dụ Caddy:

portainer.example.com {
    reverse_proxy 127.0.0.1:9443 {
        transport http {
            tls_insecure_skip_verify
        }
    }

header {
        Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"
        X-Content-Type-Options "nosniff"
        X-Frame-Options "DENY"
        Referrer-Policy "no-referrer"
    }
}

Caddy tự cấp/renew cert. Nginx/Traefik cũng được.

Lưu ý TLS

Checklist:

– Dùng TLS 1.2/1.3
– Bật HSTS nếu domain ổn định
– Không dùng self-signed cho user production
– Redirect HTTP → HTTPS
– Không expose UI qua HTTP
– Theo dõi cert expiry

Kiểm tra bằng:

curl -I https://portainer.example.com

Hoặc test SSL:

https://www.ssllabs.com/ssltest/

3. RBAC: phân quyền đúng người, đúng việc

RBAC là lớp quan trọng nhất sau xác thực. Sai lầm phổ biến: mọi người dùng chung admin. Hậu quả: không audit được ai làm gì, rủi ro xoá nhầm, quyền vượt nhu cầu.

Mô hình quyền khuyến nghị

Chia nhóm:

– Platform Admin: quản trị Portainer, endpoint, registry, setting
– Ops: deploy/update stack, xem log, restart service
– Developer: xem container/app, deploy namespace/team riêng
– Read-only/Auditor: chỉ đọc log, trạng thái, metrics
– CI/CD Bot: token/API giới hạn phạm vi

Nguyên tắc: least privilege.

Tổ chức theo team

Trong Portainer:

– Tạo Users
– Tạo Teams
– Gán user vào team
– Gán team vào endpoint/resource
– Chọn role phù hợp

Với Kubernetes, nên map theo namespace. Với Docker standalone, nên tách bằng endpoint, stack, tag, ownership.

Không dùng tài khoản admin hằng ngày

Admin chỉ dùng cho:

– cấu hình hệ thống
– khôi phục sự cố
– thay đổi auth provider
– quản lý license/extension nếu có

Tài khoản admin nên:

– mật khẩu dài
– 2FA bật
– lưu trong password manager
– không chia sẻ
– có break-glass account riêng

API token

Token tiện cho automation nhưng dễ bị lộ.

Quy tắc:

– Tạo token riêng từng pipeline
– Scope thấp nhất
– Rotate định kỳ
– Thu hồi khi không dùng
– Không commit token vào Git
– Lưu trong secret manager

Nếu nghi lộ token → revoke ngay.

4. Bật 2FA cho Portainer

2FA giảm mạnh rủi ro khi password bị lộ. Với Portainer, nên bật 2FA cho toàn bộ tài khoản có quyền thay đổi hệ thống.

Chính sách 2FA

Bắt buộc với:

– Admin
– Ops
– User có quyền deploy
– User có quyền registry
– User có API token

Không nên chỉ “khuyến nghị”. Production nên coi 2FA là yêu cầu.

App phù hợp

Dùng TOTP app:

– 1Password
– Bitwarden
– Authy
– Google Authenticator
– Microsoft Authenticator

Ưu tiên app có backup an toàn. Mất điện thoại + không có recovery → lockout.

Break-glass account

Cần tối thiểu 1 tài khoản khẩn cấp:

– mật khẩu cực mạnh
– 2FA bật
– recovery code lưu offline
– chỉ dùng khi SSO/IdP lỗi
– audit sau mỗi lần dùng

Không dùng break-glass cho vận hành thường ngày.

5. Authentication: local, LDAP, OAuth/SSO

Portainer hỗ trợ nhiều kiểu auth tuỳ edition/môi trường.

Local auth

Phù hợp lab, nhỏ. Production vẫn dùng được nhưng cần:

– mật khẩu mạnh
– 2FA
– rotate user cũ
– disable user nghỉ việc
– audit định kỳ

LDAP/Active Directory

Tốt cho công ty có AD/LDAP.

Lợi ích:

– quản lý user tập trung
– offboarding nhanh
– group mapping
– policy password tập trung

Lưu ý:

– dùng LDAPS
– không bind bằng account đặc quyền cao
– giới hạn search base
– kiểm tra group mapping

OAuth/SSO

Nếu dùng SSO:

– bật MFA tại IdP
– enforce conditional access
– giới hạn domain/org
– kiểm soát group claim
– giữ break-glass local

SSO lỗi không nên làm mất hoàn toàn quyền khôi phục.

6. Backup Portainer chuẩn production

Portainer lưu cấu hình trong volume /data. Backup volume này là bắt buộc.

Dữ liệu quan trọng gồm:

– user/team/role
– endpoint
– stack definition
– registry config
– setting
– token/API metadata
– license/config liên quan

Backup cold đơn giản

Dừng Portainer → backup volume → chạy lại.

docker stop portainer

docker run --rm 
  -v portainer_data:/data 
  -v $(pwd):/backup 
  alpine 
  tar czf /backup/portainer_data_$(date +%F).tar.gz -C /data .

docker start portainer

Ưu điểm: nhất quán. Nhược: downtime ngắn.

Backup không downtime

Có thể backup volume đang chạy, nhưng cần hiểu rủi ro snapshot không nhất quán. Tốt hơn:

– dùng filesystem snapshot
– LVM/ZFS snapshot
– cloud disk snapshot
– Portainer backup feature nếu phù hợp
– backup lúc ít thay đổi

Ví dụ backup container volume:

docker run --rm 
  -v portainer_data:/data:ro 
  -v /backups:/backup 
  alpine 
  tar czf /backup/portainer_data_$(date +%F_%H-%M).tar.gz -C /data .

Mã hoá backup

Backup chứa thông tin nhạy cảm. Cần mã hoá.

Ví dụ dùng gpg:

gpg -c /backups/portainer_data_2026-05-31.tar.gz

Hoặc dùng restic:

restic -r s3:s3.amazonaws.com/my-backup-bucket/portainer backup /backups

Chính sách retention

Khuyến nghị:

– hourly: 24 bản
– daily: 14 bản
– weekly: 8 bản
– monthly: 12 bản

Tuỳ RPO/RTO. Quan trọng: backup nhiều nơi.

Áp dụng 3-2-1:

– 3 bản copy
– 2 loại storage
– 1 bản offsite/immutable

Kiểm tra restore

Backup chưa test = chưa có backup.

Lịch:

– test restore hàng tháng
– test sau upgrade lớn
– test trước migration
– ghi lại thời gian restore

Quy trình restore cơ bản:

docker stop portainer
docker volume rm portainer_data
docker volume create portainer_data

docker run --rm 
  -v portainer_data:/data 
  -v /backups:/backup 
  alpine 
  tar xzf /backup/portainer_data_YYYY-MM-DD.tar.gz -C /data

docker start portainer

Nếu dùng production thật, hãy xác nhận đúng backup, đúng môi trường, đúng thời điểm trước khi xoá volume.

7. Hardening Docker host quanh Portainer

Portainer mạnh vì nó chạm Docker socket. Docker socket gần như quyền root trên host.

Bảo vệ Docker socket

Mount này rất nhạy cảm:

- /var/run/docker.sock:/var/run/docker.sock

Rủi ro: ai kiểm soát Portainer → kiểm soát host.

Biện pháp:

– không expose Docker API TCP không TLS
– giới hạn user truy cập Portainer
– dùng RBAC chặt
– audit action
– tách Portainer trên host quản trị riêng nếu có thể
– dùng agent thay vì socket trực tiếp trong vài mô hình

Update định kỳ

Luôn dùng image được hỗ trợ:

image: portainer/portainer-ce:lts

Quy trình update:

1. Backup /data.
2. Đọc release notes.
3. Pull image mới.
4. Restart.
5. Test login, endpoint, stack, RBAC.
6. Giữ backup rollback.

Ví dụ:

docker compose pull
docker compose up -d

8. Logging, audit, cảnh báo

Security không chỉ cấu hình, mà còn phát hiện bất thường.

Theo dõi:

– login thất bại nhiều lần
– login từ IP lạ
– thay đổi role/user/team
– tạo API token mới
– deploy image lạ
– xoá stack/container/volume
– thay đổi registry

Gửi log về:

– Loki
– ELK/OpenSearch
– SIEM
– syslog tập trung

Tối thiểu: giữ log đủ lâu để điều tra sau sự cố.

9. Checklist production nhanh

HTTPS

– Bắt buộc HTTPS
– Cert hợp lệ
– HSTS
– HTTP redirect
– Không expose 9000

Access

– RBAC theo team
– Không dùng chung admin
– 2FA cho quyền cao
– Break-glass account
– SSO/LDAP nếu có

Network

– Firewall giới hạn
– Portainer sau reverse proxy
– Admin IP allowlist nếu được
– Không expose Docker socket/API

Backup

– Backup /data
– Mã hoá
– Offsite
– Retention rõ
– Test restore định kỳ

Vận hành

– Update image
– Audit log
– Rotate token
– Review user hàng tháng
– Runbook restore

Kết luận

Portainer production không chỉ là “chạy container lên rồi dùng”. Vì Portainer có quyền điều khiển container, registry, stack, volume, thậm chí gián tiếp host, nó phải được bảo vệ như một hệ thống quản trị cấp cao.

Cấu hình tối thiểu nên có: HTTPS qua reverse proxy, RBAC theo least privilege, 2FA bắt buộc, backup mã hoá có test restore, firewall chặt, không expose Docker socket/API, audit log rõ ràng.

Làm tốt các điểm này → Portainer vẫn tiện, nhưng không còn là điểm yếu dễ bị khai thác. Production an toàn bắt đầu từ những cấu hình cơ bản, được kiểm tra đều đặn, ghi thành quy trình, có người chịu trách nhiệm.