AWS代码构建为非根用户

Question

有没有办法在AWS CodeBuild上删除root用户？我们正在构建一个Yocto项目，如果我们是root（Bitbake健全性检查），它在代码构建上会失败。

我们不顾一切的方法也不起作用：

...

build:
  commands:
    - chmod -R 777 $(pwd)/ && chown -R builder $(pwd)/ && su -c "$(pwd)/make.sh" -s /bin/bash builder
...

在以下情况下失败：

bash: /codebuild/output/src624711770/src/.../make.sh: Permission denied

你知道我们怎么把它变成非根的吗？

Answer 1

我们最终做了以下工作：

创建一个Dockerfile，其中包含构建Yocto/Bitbake项目的所有内容，在该项目中，我们添加所需的源代码，并创建一个用于构建项目的用户builder。

  FROM ubuntu:16.04

  RUN apt-get update && apt-get -y upgrade

  # Required Packages for the Host Development System
  RUN apt-get install -y gawk wget git-core diffstat unzip texinfo gcc-multilib \
       build-essential chrpath socat cpio python python3 python3-pip python3-pexpect \
       xz-utils debianutils iputils-ping vim

  # Additional host packages required by poky/scripts/wic
  RUN apt-get install -y curl dosfstools mtools parted syslinux tree

  # Create a non-root user that will perform the actual build
  RUN id builder 2>/dev/null || useradd --uid 30000 --create-home builder
  RUN apt-get install -y sudo
  RUN echo "builder ALL=(ALL) NOPASSWD: ALL" | tee -a /etc/sudoers

  # Fix error "Please use a locale setting which supports utf-8."
  # See https://wiki.yoctoproject.org/wiki/TipsAndTricks/ResolvingLocaleIssues
  RUN apt-get install -y locales
  RUN sed -i -e 's/# en_US.UTF-8 UTF-8/en_US.UTF-8 UTF-8/' /etc/locale.gen && \
          echo 'LANG="en_US.UTF-8"'>/etc/default/locale && \
          dpkg-reconfigure --frontend=noninteractive locales && \
          update-locale LANG=en_US.UTF-8

  ENV LC_ALL en_US.UTF-8
  ENV LANG US.UTF-8
  ENV LANGUAGE en_US.UTF-8

  WORKDIR /home/builder/
  ADD ./ ./

  USER builder

  ENTRYPOINT ["/bin/bash", "-c", "./make.sh"]

我们在Codebuildpre_build步骤中构建这个docker，并在运行映像时在ENTRYPOINT（在make.sh）中运行实际构建。容器被激活后，我们将工件复制到Codebuild主机并将其放在S3上：

version: 0.2

phases:
  pre_build:
    commands:
      - mkdir ./images
      - docker build -t bob .
  build:
    commands:
      - docker run bob:latest
  post_build:
    commands:
      # copy the last excited container's images into host as build artifact
      - docker cp $(docker container ls -a | head -2 | tail -1 | awk '{ print $1 }'):/home/builder/yocto-env/build/tmp/deploy/images ./images
      - tar -cvzf artifacts.tar.gz ./images/*
artifacts:
  files:
    - artifacts.tar.gz

这种方法的唯一缺点是，我们不能（容易地）使用Codebuild的缓存功能。但是构建对我们来说足够快，因为我们白天进行本地构建，晚上基本上从头开始重建，这需要大约90分钟（在最强大的Codebuild实例上）。

Answer 2

要以非根用户身份运行CodeBuild，需要在buildspec中使用run-as标记指定Linux用户名。yaml如文件所示

version: 0.2

run-as: Linux-user-name

env:
  variables:
   key: "value"
   key: "value"
parameter-store:
key: "value"
key: "value"

phases:
  install:
  run-as: Linux-user-name
  runtime-versions:
    runtime: version

Answer 3

感谢您的此功能请求。目前，您无法在CodeBuild中以非root用户身份运行，我已将其传递给团队进行进一步审查。非常感谢您的反馈。