Docker使用Gosu vs USER

Question

Docker总是有一个USER命令来作为特定用户运行进程，但通常很多事情都必须作为ROOT运行。

我看到了很多图像，它们使用带有gosu的入口点来反提升流程以运行。

我仍然对是否需要gosu感到困惑。用户还不够吗？

我知道Docker 1.10在安全性方面有了很大的变化，但我仍然不清楚在Docker容器中运行进程的推荐方法。

有人能解释一下我什么时候会使用gosu和用户吗？

谢谢

编辑：

Docker最佳实践指南不是很清楚：它说如果进程可以在没有权限的情况下运行，请使用USER，如果您需要sudo，您可能希望使用gonu。这很令人困惑，因为人们可以在Dockerfile中以ROOT的形式安装各种东西，然后创建一个用户并赋予它适当的权限，然后最终切换到该用户并以该用户的身份运行CMD。那么我们为什么需要sudo或gosu呢？

Answer 1

使用gosu的优点也是信号处理。例如，您可以通过重新加载systemctl来重新加载进程

Answer 2

我正在使用gosu和entrypoint。因为我希望容器中的用户具有与创建容器的用户相同的UID。

Docker卷和权限。

我正在创建的容器的目的是为了开发。我需要为linux构建，但我仍然需要所有本地（OS X）编辑、工具等的支持。我在容器内外保持UID不变，这使文件所有权更加合理，并防止了一些错误（容器用户无法编辑装入卷中的文件等）

Answer 3

Dockerfiles用于创建图像。我认为gosu作为容器初始化的一部分，在Dockerfile中不能在运行命令之间更改用户时更有用。

创建映像后，像gosu这样的东西允许您在容器内的入口点末尾删除root权限。您最初可能需要root访问权限来执行一些初始化步骤（修复uid、主机安装的卷权限等）。然后初始化后，您可以在没有root权限的情况下运行最终服务，并作为pid 1干净地处理信号。

编辑：下面是一个在docker和jenkins的图像中使用gosu的简单示例：https://github.com/bmitch3020/jenkins-docker

入口点。sh查找/var/lib/docker的gid。并更新容器内docker用户的gid以匹配。这允许将图像移植到主机上gid可能不同的其他docker主机。更改组需要容器内的根访问权限。如果我在dockerfile中使用了用户jenkins，我将无法使用图像中定义的docker组的gid，如果它与运行它的docker主机的gid不匹配，则该gid将不起作用。但在运行应用程序时，根访问权限可能会被删除，而gosu正是在这个应用程序中发挥作用的。

在脚本的末尾，exec调用阻止shell分叉gonu，而是用该进程替换pid 1。osu反过来也做同样的事情，切换uid，然后执行jenkins进程，以便它作为pid 1接管。这允许正确处理信号，否则shell会作为pid 1忽略这些信号。