您是否可以在Docker容器中以root身份启动进程，同时让exec调用的默认用户是非root用户？

Question

我基本上是试图以root用户身份运行crond-f，而默认用户则有所不同。

由于它运行的crontabs使用图像上其他文件的敏感信息，我想让root访问这些文件，启动crond进程，然后将用户切换到新创建的文件。通过这种方式，cronJobs将能够获得他们需要的信息，同时保护容器中的敏感文件免受任何可能获得exec访问权限的人的攻击。

尝试过这样的几件事：

USER root

CMD ["./runCrons.sh"]

USER newuser

但这并不是以root身份运行crond进程，而是以newuser身份运行。

如果有人有解决办法，我会省去一些挖掘和实验。

Answer 1

在构建Docker映像时，创建一个属于sudo组的用户，该用户可以在不使用密码的情况下运行所有sudo命令。

考虑下面的示例，创建一个名为test的DOCKER图像，用户名为MyUSER，SUDO PASS：

$ cat Dockerfile

FROM debian:latest
ENV user_name myuser
RUN apt-get update
RUN apt-get install -y sudo
RUN useradd --create-home -s /bin/bash ${user_name}
RUN echo "${user_name} ALL=(ALL) NOPASSWD:ALL" > /etc/sudoers.d/${user_name}
WORKDIR /home/${user_name}
USER ${user_name}
CMD /bin/bash

然后构建图像：

docker build-t测试。

现在要解决标准用户的cron权限问题，请确保cron脚本上使用的所有命令都以sudo开头，如下所示。

CMD[“sudo./runCrons.sh”]

因为使用sudo时不需要密码，所以一切都应该执行得很好，你应该可以走了。