neuvector/allinone 将 NeuVector 多组件打包为单容器 PoC 部署，提供 CVE 扫描、网络微分段与进程行为基线。运行依赖 --privileged、host 网络或挂载 docker.sock/cri socket 以 inspect 同级容器，不适合常规无特权 Kubernetes Deployment。生产应在 K8s 用官方 Helm Chart 分别部署 controller、enforcer DaemonSet 与 scanner，而非 allinone 长期 docker run。

快速启动

docker run -d --name neuvector \
  --privileged --net=host \
  -v /var/run/docker.sock:/var/run/docker.sock \
  docker.io/neuvector/allinone:latest

推荐实践

docker run -d --name neuvector \
  --restart unless-stopped \
  --privileged --net=host \
  -v /var/run/docker.sock:/var/run/docker.sock \
  -e CLUSTER_JOIN_ADDR=192.168.1.10 \
  docker.io/neuvector/allinone:5.4.0

核心参数说明

• --privileged — 运行时探针与 iptables 规则
• --net=host — 容器间流量可见性
• -v /var/run/docker.sock:... — 发现与扫描本地容器
• -e CLUSTER_JOIN_ADDR — 多节点控制器加入地址
• --restart unless-stopped — 安全组件持续守护
• 生产 — K8s 请用 NeuVector Helm 分组件部署