是否建议在泊坞窗容器中使用 sudo？

Question

我总是被告知以root用户身份登录是不好的做法。然而，这是Docker在其容器中默认做的事情，因此某些包会打印警告。

我应该切换到标准用户并在我的容器中使用sudo吗？或者这并不比在Docker容器中使用root用户有什么好处？

我的容器运行的是php8.1:apache(在Debian 11上)，我在我网站的服务器上使用它。它有两个打开的端口和一个共享卷(在< code>/var/www/hmtl/内部的web应用程序)。Sudo确实带来了一些额外的复杂性，比如does文件中多了一些指令，以及一些命令无法访问的环境变量。

Answer 1

我会主动避免在 Docker 容器中安装 sudo。这是不必要的，并且设置它的最常见示例是主动不安全的。

在Dockerfile的上下文中，您可以根据需要经常使用USER指令来切换用户。

FROM some-base-image-with-a-non-root-user

USER root
RUN apt-get update && apt-get install ...
USER nonroot

Docker容器只运行一个进程。如果出于任何原因（包括root用户）需要以其他用户身份运行它，可以使用＜code＞docker run-u＜/code＞选项。

docker run --rm -u root ubuntu cat /etc/shadow

# but more often, as the host user
docker run --rm -u $(id -u):$(id -g) -v "$PWD:/data" some-image

您应该避免在“容器内”工作，因为一旦容器退出，您手动更改的任何内容都将丢失。例如，我通常会不鼓励泊坞管理员执行...安装，因为它要求丢失工作。但是，如果您出于任何原因确实需要以 root 身份在容器内进行调试，则 docker exec -u 也是一种选择。

@will-wright-eng链接如何在docker容器内使用sudo？在这里，您可以看到常见的安全错误:

# don't do this, it's not necessary
RUN apt-get update && apt-get install -y sudo

# don't give a user a hard-coded password, that's trivially
# guessable, and recorded in the Dockerfile and history in plain text
RUN useradd docker && echo "docker:docker" | chpasswd

# don't allow the user to do anything anyways, so long as they
# ask nicely first
RUN echo "docker ALL=(ALL) NOPASSWD: ALL" >> /etc/sudoers

给用户不受限制的sudo访问权限可以让他们有效地成为root用户。礼貌地问会给你一点保护。但是，假设您的代码有一个远程执行漏洞，并且攻击者有某种rootkit，但它实际上涉及到root用户；您可以确保他们会尝试查看sudorootkit升级是否在没有密码的情况下工作。

一些包管理器抱怨以root身份运行(这里想到了Python的< code>pip)。抑制这些警告是可以的。因为您是在Docker映像的隔离环境中运行，所以您不会意外地破坏共享Python安装的“系统”包。