在Docker中运行app作为非root用户

查看这篇文章:http://www.yegor256.com/2014/08/29/docker-non-root.html在rultor.com中,我们在自己的Docker容器中运行所有构建.每次在容器内运行脚本之前,我们都会切换到非root用户.这是如何:

adduser --disabled-password --gecos '' r
adduser r sudo
echo '%sudo ALL=(ALL) NOPASSWD:ALL' >> /etc/sudoers
su -m r -c /home/r/script.sh

r 是我们正在使用的用户.

这个有点棘手,实际上是由于你开始的图像.

如果查看源代码,您会注意到它/data/是一个卷.因此,您在此处执行的所有操作都Dockerfile将被丢弃并在运行时被安装的卷覆盖.

您可以在运行时通过将CMD更改为类似的方式来显示CMD chown -R node /data && npm start.

更新2015-09-28

我注意到这篇文章引起了一些关注.对于有可能对此类事情感兴趣的任何人的建议.我会尝试使用Python或其他语言作为脚本执行的包装器.做本机bash脚本我试图通过各种参数传递给我的容器时遇到了问题.具体来说,shell解释/转义"和"字符存在问题.

我需要更改用户的原因略有不同.

我创建了一个docker图像,其中包含ImageMagick和Ffmpeg的全功能安装,希望我可以对我的主机操作系统中的图像/视频进行转换.我的问题是这些是命令行工具,因此通过docker执行它们然后将结果返回到主机操作系统稍微麻烦一些.我设法通过安装docker音量允许这个.这似乎没有用,除了图像/视频输出是由root(即docker容器正在运行的用户)所拥有的,而不是执行命令的用户.

我看了@FrançoisZaninotto在他的回答中提到的方法(你可以在这里看到完整的make脚本).这真的很酷,但我更喜欢创建一个bash shell脚本的选项,然后我将在我的路径上注册.我从Makefile方法(特别是用户/组创建)中获取了一些概念,然后创建了shell脚本.

这是我的dockermagick shell脚本的一个例子:

#!/bin/bash

### VARIABLES

DOCKER_IMAGE='acleancoder/imagemagick-full:latest'
CONTAINER_USERNAME='dummy'
CONTAINER_GROUPNAME='dummy'
HOMEDIR='/home/'$CONTAINER_USERNAME
GROUP_ID=$(id -g)
USER_ID=$(id -u)

### FUNCTIONS

create_user_cmd()
{
  echo \
    groupadd -f -g $GROUP_ID $CONTAINER_GROUPNAME '&&' \
    useradd -u $USER_ID -g $CONTAINER_GROUPNAME $CONTAINER_USERNAME '&&' \
    mkdir --parent $HOMEDIR '&&' \
    chown -R $CONTAINER_USERNAME:$CONTAINER_GROUPNAME $HOMEDIR
}

execute_as_cmd()
{
  echo \
    sudo -u $CONTAINER_USERNAME HOME=$HOMEDIR
}

full_container_cmd()
{
  echo "'$(create_user_cmd) && $(execute_as_cmd) $@'"
}

### MAIN

eval docker run \
    --rm=true \
    -a stdout \
    -v $(pwd):$HOMEDIR \
    -w $HOMEDIR \
    $DOCKER_IMAGE \
    /bin/bash -ci $(full_container_cmd $@)

$ cd ~/MyImages
$ ls
  MyImage.jpeg
$ dockermagick convert MyImage.jpeg Foo.png
$ ls
  Foo.png MyImage.jpeg

$ dockermagick identify MyImage.jpeg
  MyImage.jpeg JPEG 640x426 640x426+0+0 8-bit DirectClass 78.6KB 0.000u 0:00.000

$ cd ~/MyImages
$ ls
  MyImage.jpeg
$ dockermagick convert ~/DifferentDirectory/AnotherImage.jpeg Foo.png
$ ls
  MyImage.jpeg