バージョン1.5以上のDockerでは、docker createまたはdocker run.に--read-only=trueオプションを指定することによって、コンテナからホストのrootファイル・システムを読取り専用モードでマウントできます。 このモードを使用して、コンテナ化されたアプリケーションによる書込みアクセス権を制限できます。