当前位置：首页 > 文章列表 > Golang > Go问答 > 如何通过简单地从头开始在容器中设置随机 UID 来创建非 root 用户？

如何通过简单地从头开始在容器中设置随机 UID 来创建非 root 用户？

来源：stackoverflow 2024-04-27 15:39:43 0浏览收藏

在Golang实战开发的过程中，我们经常会遇到一些这样那样的问题，然后要卡好半天，等问题解决了才发现原来一些细节知识点还是没有掌握好。今天golang学习网就整理分享《如何通过简单地从头开始在容器中设置随机 UID 来创建非 root 用户？》，聊聊，希望可以帮助到正在努力赚钱的你。

问题内容

我正在使用 docker 设置 golang 服务器，为了安全起见，我希望非特权用户在其容器内启动它。

这是我使用的简单 dockerfile。我将二进制文件导入到容器中并设置随机 uid。

FROM scratch
WORKDIR /app
COPY --chown=1001:1001 my-app-binary my-app-binary
USER 1001
CMD ["/app/my-app-binary"]

如果我的服务器侦听端口 443，则它不起作用，因为它需要特权。因此，我的应用程序按预期由非特权用户运行。

尽管如此，用户 1001 并未正确创建。我看到的教程告诉我在中间“构建器”容器（例如 alpine）中创建用户并从中导入 /etc/passwd 。我没有找到任何例子做我所做的事情。（这是我遵循的一个教程）

有人可以向我解释为什么我的解决方案有效或我不明白吗？

解决方案

披露：在我的回答中，我引用了 this blog post 的内容。我既不是这篇文章的作者，也与作者没有任何关系。

这是预期的 - 容器可以在容器不知道的用户下运行。引用docker run docs：

root (id = 0) 是容器内的默认用户。图像开发者可以创建额外的用户。可以通过名称访问这些用户。 传递数字 ID 时，用户不必存在于容器中。

-- https://docs.docker.com/engine/reference/#user

它可以帮助您解决如下问题：

有时，当我们在 Docker 容器中运行构建时，构建会在从主机挂载到容器中的文件夹中创建文件（例如源代码目录）。这可能会给我们带来痛苦，因为这些文件将归 root 用户所有。当普通用户在准备下一次构建时尝试清理这些文件时（例如使用 git clean），他们会收到错误并且我们的构建失败。

-- https://medium.com/redbubble/running-a-docker-container-as-a-non-root-user-7d2e00f8ee15#7d3a

这是可能的，因为：

幸运的是，docker run 为我们提供了一种方法来执行此操作：the --user parameter。我们将使用它来指定 Docker 应该使用的用户 ID (UID) 和组 ID (GID)。这是可行的，因为 Docker 容器都共享相同的内核，因此共享相同的 UID 和 GID 列表，即使容器不知道关联的用户名（稍后会详细介绍）。

-- https://medium.com/redbubble/running-a-docker-container-as-a-non-root-user-7d2e00f8ee15#b430

上述内容也适用于 USER dockerfile command。

使用容器未知的 UID 有一些问题：

您的用户将不再是$HOME

我们实际上在这里做的是要求我们的 Docker 容器使用它一无所知的用户 ID 来执行操作，这会产生一些复杂性。也就是说，这意味着用户缺少一些我们已经学到的东西，只是希望用户拥有诸如主目录之类的东西。这可能会很麻烦，因为这意味着 $HOME 中的所有内容 — — 临时文件、应用程序设置、包缓存 — — 现在都无处可存。容器化进程无法知道将它们放在哪里。

当我们尝试做特定于用户的事情时，这可能会影响我们。我们发现使用 gem install （尽管使用 Bundler 没问题）或运行依赖于 ENV['HOME'] 的代码会导致问题。因此，如果您执行其中任何一项操作，这可能意味着您需要进行一些调整。