Docker和--userns-remap,如何管理卷权限以在主机和容器之间共享数据？

Question

在docker中，在容器中创建的文件在从主机检查时往往具有不可预测的所有权。默认情况下，卷上文件的所有者是root(UID0)，但是一旦容器中涉及非root用户帐户并写入文件系统，从主机的角度来看，所有者或多或少就变得随机了。

当您需要使用调用docker命令的相同用户帐户从主机访问卷数据时，这是一个问题。

典型的变通办法是

null

docker run -ti -v /data debian:jessie /bin/bash
echo 'hello' > /data/test.txt
exit

然后检查来自主机的内容：

ls -lh /var/lib/docker/100000.100000/volumes/<some-id>/_data/

-rw-r--r-- 1 100000 100000 6 Feb  8 19:43 test.txt

这个数字'100000'是我的主机用户的子UID，但是由于它与我的用户的UID不对应，所以我仍然不能在没有权限的情况下编辑test.txt。这个子用户似乎与我在Docker之外的实际普通用户没有任何关系。没有映射回来。

本文前面提到的解决方案包括在主机和容器之间对齐UID，由于名称空间中发生的uid->sub-uid映射，这些解决方案不再起作用。

Answer 1

如果您可以预先安排用户和组，那么就可以以特定的方式分配UID和GID，以便宿主用户与容器中的命名空间用户相对应。

下面是一个例子(Ubuntu 14.04,Docker 1.10）：

>

创建一些具有固定数字ID的用户：

useradd -u 5000 ns1

groupadd -g 500000 ns1-root
groupadd -g 501000 ns1-user1

useradd -u 500000 -g ns1-root ns1-root
useradd -u 501000 -g ns1-user1 ns1-user1 -m

ns1:500000:65536

DOCKER_OPTS="--userns-remap=ns1"

Update：为了保证非根用户在容器中有固定的ID（例如user11000:1000)，在映像构建期间显式地创建它们。

试驾：

>

准备卷目录

mkdir /vol1
chown ns1-root:ns1-root /vol1

docker run --rm -ti -v /vol1:/vol1 busybox sh
echo "Hello from container" > /vol1/file
exit

passwd ns1-root
login ns1-root
cat /vol1/file
echo "can write" >> /vol1/file