简介
Docker 是一个强大的容器化平台，它彻底改变了应用程序的开发、部署和管理方式。然而，以 root 用户身份运行 Docker 容器可能会带来安全风险。本教程将指导你完成在 Docker 中为非 root 用户授予细粒度权限的过程，使他们能够在不损害整体系统安全性的情况下执行特定任务。
理解 Docker 用户权限
默认情况下，Docker 容器设计为以非特权用户身份运行，这有助于提高系统的整体安全性。然而，在某些情况下，你可能需要为 Docker 容器内的非 root 用户授予细粒度权限，以执行特定任务。
Docker 中的默认用户权限
默认情况下，Docker 容器以 root 用户身份运行，该用户在容器内具有最高级别的权限。这可能存在安全风险，因为容器内的任何漏洞或恶意活动都可能潜在地影响主机系统。
为了降低此风险，Docker 建议以非 root 用户身份运行容器。你可以通过在 Dockerfile 中指定用户，或在运行容器时使用 --user 标志来实现。
## Dockerfile
FROM ubuntu:22.04
RUN useradd -ms /bin/bash myuser
USER myuser## 以非 root 用户身份运行容器
docker run -it --user myuser ubuntu:22.04 bash理解用户命名空间
Docker 使用用户命名空间为容器内的非 root 用户提供额外的隔离和安全层。用户命名空间允许你将容器内的用户和组 ID 映射到主机系统上的不同 ID，从而有效地为容器创建一个单独的用户空间。
graph TD
A[主机系统] --> B[容器]
B[容器] --> C[映射的用户 ID]
B[容器] --> D[映射的组 ID]
这种映射确保即使容器内的非 root 用户具有高权限，他们也无法影响主机系统或在同一主机上运行的其他容器。
验证用户权限
你可以在容器内使用 id 命令来验证当前用户已映射到的用户和组 ID：
$ id
uid=1000(myuser) gid=1000(myuser) groups=1000(myuser),4(adm),24(cdrom),27(sudo),30(dip),46(plugdev),113(lxd),128(systemd-journal),129(systemd-journal-gateway)此输出显示 myuser 用户在容器内已映射到用户 ID 1000 和组 ID 1000。
为非 root 用户分配细粒度权限
虽然以非 root 用户身份运行容器是一种良好的安全实践，但在某些情况下，你可能需要为这些用户授予特定权限以执行某些任务。Docker 提供了几种方法来为容器内的非 root 用户分配细粒度权限。
使用 --cap-add 和 --cap-drop 标志
Docker 支持使用 Linux 能力，这使你能够为用户或进程授予或撤销特定权限。在运行容器时，你可以使用 --cap-add 和 --cap-drop 标志为非 root 用户添加或删除能力。
## 为非 root 用户授予 "CAP_SYS_ADMIN" 能力
docker run -it --user myuser --cap-add=SYS_ADMIN ubuntu:22.04 bash
## 从非 root 用户移除 "CAP_CHOWN" 能力
docker run -it --user myuser --cap-drop=CHOWN ubuntu:22.04 bash以特定权限挂载卷
你还可以通过以特定所有权和权限挂载卷来为非 root 用户授予细粒度权限。这使你能够控制容器内非 root 用户的访问权限。
## 以特定权限挂载卷
docker run -it --user myuser -v /path/on/host:/path/in/container:rw,uid=1000,gid=1000 ubuntu:22.04 bash在此示例中，挂载的卷可供用户 ID 为 1000 且组 ID 为 1000 的非 root 用户访问。
使用 --group-add 标志
如果非 root 用户需要执行需要特定组成员身份的任务，则可以使用 --group-add 标志将用户添加到容器内的其他组。
## 将非 root 用户添加到 "docker" 组
docker run -it --user myuser --group-add docker ubuntu:22.04 bash这使非 root 用户能够执行需要 "docker" 组成员身份的任务，例如与 Docker 守护进程进行交互。
自定义 Dockerfile
你还可以自定义 Dockerfile，以创建具有特定权限和组成员身份的非 root 用户。这可确保非 root 用户在容器内具有执行其任务所需的权限。
## Dockerfile
FROM ubuntu:22.04
RUN useradd -ms /bin/bash myuser
RUN usermod -aG docker myuser
USER myuser此 Dockerfile 创建一个名为 myuser 的非 root 用户，并将他们添加到 "docker" 组，使他们能够与 Docker 守护进程进行交互。
实际用例与示例
在Docker中为非root用户分配细粒度权限在各种场景中都可能有益。以下是一些实际用例和示例：
场景1：运行Web服务器
假设你有一个Web应用程序在Docker容器中运行，并且你希望非root用户拥有启动和管理Web服务器进程所需的权限。
## Dockerfile
FROM ubuntu:22.04
RUN useradd -ms /bin/bash myuser
RUN apt-get update && apt-get install -y nginx
RUN chown -R myuser:myuser /var/www/html
USER myuser
CMD ["nginx", "-g", "daemon off;"]在此示例中，非root用户“myuser”被授予了/var/www/html目录的所有权，该目录是Nginx Web服务器的默认位置。这允许非root用户在容器内启动和管理Nginx进程。
场景2：访问敏感文件
如果你的容器需要访问敏感文件或目录，你可以授予非root用户读取或写入这些位置的必要权限。
## 以特定卷权限运行容器
docker run -it --user myuser -v /path/to/sensitive/files:/sensitive:rw,uid=1000,gid=1000 ubuntu:22.04 bash在此示例中，用户ID为1000且组ID为1000的非root用户被授予了对容器内/path/to/sensitive/files目录的读写访问权限。
场景3：与Docker守护进程交互
如果你的非root用户需要与Docker守护进程交互，你可以将他们添加到容器内的“docker”组。
## Dockerfile
FROM ubuntu:22.04
RUN useradd -ms /bin/bash myuser
RUN usermod -aG docker myuser
USER myuser此Dockerfile创建了一个名为“myuser”的非root用户，并将他们添加到“docker”组，允许他们执行与Docker相关的任务，例如构建和管理容器。
场景4：执行特权命令
在某些情况下，你的非root用户可能需要执行需要特定能力的特权命令。你可以使用--cap-add标志为非root用户授予必要的能力。
## 以特定能力运行容器
docker run -it --user myuser --cap-add=SYS_ADMIN ubuntu:22.04 bash在此示例中，非root用户被授予了“CAP_SYS_ADMIN”能力，这允许他们执行需要提升权限的系统管理任务。
通过理解这些实际用例和示例，你可以有效地为Docker中的非root用户授予细粒度权限，确保他们在保持安全和隔离环境的同时拥有执行任务所需的访问权限。
总结
在本全面的Docker教程中，你将学习如何为非root用户分配细粒度权限，使他们能够在不提升权限的情况下与Docker容器和资源进行交互。通过理解Docker中用户权限的原理并探索实际用例，你将能够根据组织的需求实现一个更安全、高效的Docker环境。
