用sudo priviledges在Docker中添加用户的干净方法是什么？

Question

我试图理解如何在docker中正确添加非root用户，并给他们sudo权限。假设我当前的Ubuntu 18.04系统中janedoe是sudo用户。我想创建一个docker映像，在其中我想添加janedoe作为非root用户，在需要时可以拥有sudo权限。由于我和Docker都是Linux系统新手，我通常希望有人通过一个例子来解释如何做到这一点。

我理解的是，每当我在Dockerfile中发出命令“USER janedoe”时，该行之后的许多命令都不能由janedoe的权限执行。我假设在构建容器时，我们必须将janedoe添加到sudo“组”，就像管理员向系统添加新用户时一样。

我一直在尝试寻找一些演示Dockerfile来解释这个例子，但找不到它。

Answer 1

我认为您正在寻找这个问题的答案：如何将用户添加到docker容器中

RUN useradd -ms /bin/bash janedoe <-- this command adds the user
usermod -aG sudo janedoe <-- this command tells the container to put the user janedoe inside the SUDO group

然后，如果您想在脚本的其余部分切换到该用户，请使用：

USER janedoe <-- all lines after this now use the janedoe user to execute them
WORKDIR /home/janedoe <-- this tells your script from this line on to use paths relative to janedoe's home folder

由于容器本身运行linux模块，因此大多数（如果不是全部）linux命令也应该在容器内工作。如果您有静态用户（即可以预测哪些用户），您应该能够在用于创建图像的Dockerfile中创建它们。现在，每次从上述图像运行容器时，都应该将janedoe用户放在其中。

Answer 2

通常，您应该将Docker容器视为单个进程的包装器。如果你问这个关于其他过程的问题，这真的没有意义。（如何使用sudo权限将用户添加到PostgreSQL server？如何将用户添加到Web浏览器？）

在Docker中，你几乎不需要sudo，原因有三：在大多数情况下切换用户很简单；您通常不会在容器中获得交互式shell（如何从cron守护进程中获得目录列表？）；如果你可以运行任何docker命令，你就可以很容易地找到整个主机的根<代码>sudo也很难编写脚本，而且很难在Docker中有效地维护用户密码（在易于检索的纯文本文件中编写与根等效的密码不是安全最佳做法）。

在您的问题中，如果您已经切换到一些非root用户，并且需要运行一些管理命令，请使用用户切换回root。

USER janedoe
...
USER root
RUN apt-get update && apt-get install -y some-package
USER janedoe

由于容器与主机系统有一定的隔离，因此通常不需要容器与主机系统具有相同的用户名或用户ID。例外情况是当使用绑定装载与主机共享文件时，但最好在启动容器时指定此详细信息。

我习惯的典型做法是：

>

在您的Dockerfile中，创建一些非root用户。它可以有任何名称。它不需要密码、登录shell、主目录或任何其他详细信息。将其视为“系统”用户很好。

 FROM ubuntu:18.04
 RUN adduser --system --group --no-create-home appuser

仍然在您的Dockerfile中，以root身份执行几乎所有操作。这包括安装您的应用程序。

 RUN apt-get update && apt-get install ...
 WORKDIR /app
 COPY requirements.txt .
 RUN pip install -r requirements.txt
 COPY . .

当您描述运行容器的默认方式时，只有切换到非root用户。

 EXPOSE 8000
 USER appuser
 CMD ["./main.py"]

理想情况下，这就是故事的结尾：您的代码内置在您的映像中，它将所有数据存储在外部的某个地方，例如数据库，因此它根本不关心主机用户空间（默认情况下不应该有docker run-v或Docker Compose卷：选项）。

如果文件权限真的很重要，您可以指定启动容器时要使用的数字主机用户ID。用户不需要特别存在于容器的/etc/passwd文件中。

 docker run \
   --name myapp \
   -d \
   -p 8000:8000 \
   -v $PWD:/data \
   -u $(id -u) \
   myimage