Se connecter à docker conteneur en tant qu'utilisateur autre que root

Pour docker run:

Il suffit d'ajouter l'option --user <user> de changer pour un autre utilisateur lorsque vous démarrez le conteneur docker.

docker run -it --user nobody busybox

Pour docker attach ou docker exec:

Depuis la commande est utilisée pour attacher/exécuter dans le processus existant, donc il utilise le courant de l'utilisateur directement.

docker run -it busybox  # CTRL-P/Q to quit
docker attach <container id>  # then you have root user
/# id
uid=0(root) gid=0(root) groups=10(wheel)

docker run -it --user nobody busybox # CTRL-P/Q to quit
docker attach <container id>  
/$ id
uid=99(nobody) gid=99(nogroup)

Si vous voulez vraiment vous joindre à l'utilisateur que vous souhaitez avoir, alors

1. commencer avec cet utilisateur run --user <user> ou de le mentionner dans votre Dockerfile à l'aide de USER
2. changer l'utilisateur à l'aide de " su

OriginalL'auteur Larry Cai

Vous pouvez spécifier USER dans le Dockerfile. Toutes les actions suivantes seront effectuées à l'aide de ce compte. Vous pouvez spécifier USER une ligne avant la CMD ou ENTRYPOINT si vous ne souhaitez utiliser que de l'utilisateur lors du lancement d'un conteneur (et non pas lors de la construction de l'image). Lorsque vous démarrez un conteneur de l'image résultante, vous pourrez joindre en tant que l'utilisateur spécifié.

OriginalL'auteur kliew

Ma solution:

#!/bin/bash
user_cmds="$@"

GID=$(id -g $USER)
UID=$(id -u $USER)
RUN_SCRIPT=$(mktemp -p $(pwd))
(
cat << EOF
addgroup --gid $GID $USER
useradd --no-create-home --home /cmd --gid $GID --uid $UID  $USER
cd /cmd
runuser -l $USER -c "${user_cmds}"
EOF
) > $RUN_SCRIPT

trap "rm -rf $RUN_SCRIPT" EXIT

docker run -v $(pwd):/cmd --rm my-docker-image "bash /cmd/$(basename ${RUN_SCRIPT})"

Cela permet à l'utilisateur d'exécuter des commandes arbitraires en utilisant les outils fournit par my-docker-image. Notez comment l'utilisateur du répertoire de travail actuel est le volume monté
pour /cmd à l'intérieur du conteneur.

Je suis en utilisant ce flux de travail pour permettre à mon dev-team pour cross-compiler du code C/C++ pour la arm64 cible, dont bsp je maintiens (le my-docker-image contient le cross-compilateur, sysroot, faire, cmake, etc). Avec ce qu'un utilisateur peut simplement faire quelque chose comme:

cd /path/to/target_software
cross_compile.sh "mkdir build; cd build; cmake ../; make"

Où cross_compile.sh est le script présenté ci-dessus. Le addgroup/useradd machines permet à l'utilisateur de propriété de tous les fichiers/répertoires créés par la construction.

Alors que cela fonctionne pour nous. Il semble sorte de hacky. Je suis ouvert à d'autres implémentations ...

OriginalL'auteur rmccabe3701