如何在 docker 容器中生成与主机用户具有相同所有者的文件

Question

我使用 docker 容器在我的 git 存储库中完成一些开发任务。

我使用的容器是专门为每个项目构建的，因此每个贡献者只需要 docker CLI 即可完成工作。

不好的一面是容器以root身份运行，因此一旦容器停止，生成的文件就归root所有，这很糟糕..

我无法在退出前更改容器中的所有者，因为容器 /etc/passwd 文件中没有所需的用户。

我会在编译 docker 映像之前在容器中创建一个用户，但随后容器将不是通用的（对于我所有的开发团队来说）。

这方面的最佳做法是什么？

Answer 1

您可以将您的用户添加到映像中，以 root 身份启动容器，并使用入口点来调整容器内的 uid/gid 以匹配您的开发人员安装的卷。然后切换到您的容器用户来运行您的应用。

为了实现这一点，我使用了一个入口点 shell 脚本，其中包括以下几行：

  OLD_UID=`getent passwd "${opt_u}" | cut -f3 -d:`
  NEW_UID=`ls -nd "$1" | cut -f3 -d' '`
  if [ "$OLD_UID" != "$NEW_UID" ]; then
    usermod -u "$NEW_UID" "$opt_u"
    if [ -n "$opt_r" ]; then
      find / -mount -uid "$OLD_UID" -exec chown "$opt_u" {} \;
    fi
  fi
  OLD_GID=`getent group "${opt_g}" | cut -f3 -d:`
  NEW_GID=`ls -nd "$1" | cut -f4 -d' '`
  if [ "$OLD_GID" != "$NEW_GID" ]; then
    groupmod -g "$NEW_GID" "$opt_g"
    if [ -n "$opt_r" ]; then
      find / -mount -gid "$OLD_GID" -exec chgrp "$opt_g" {} \;
    fi
  fi

在该脚本中，$1 是卷挂载路径，opt_u 是容器内的用户名，opt_g 是组名，opt_r 是递归调整容器内文件系统的标志。

在我的入口点的最后，我开始了：

exec gosu "${RUN_AS}" "$@"

切换到用户 $RUN_AS 并执行以该用户身份和 pid 1 传递给入口点的命令。Gosu 用于避免 su 以 pid 1 运行。

我之前发布了一个类似的示例，将 Jenkins 作为容器内的应用程序，以匹配 docker 套接字的 GID。你可以在这里找到包含所有步骤的 repo：https://github.com/bmitch3020/jenkins-docker

这具有使图像可移植到任何开发人员系统的显着优势，并且他们可以使用相同的命令运行它。无论文件系统上的权限是什么，它们都从外部映射到容器中，成为用户在容器内运行命令的 uid/gid。无需在开发人员系统上为您的docker run 命令查找本地 uid/gid，或者在每个开发人员工作站上使用唯一的 uid/gid 条目构建您的映像。此实现的唯一缺点是docker exec 将以 root 身份进入容器，因为您需要以 root 身份运行您的入口点才能访问修改用户/组和文件系统所有权。

Answer 2

一种解决方案是在基于之前映像的存储库中创建一个新的dockerfile（预安装了 devtools，但没有创建用户但只有 root）。

在这样的dockerfile 中，写如下内容：

FROM <ABSTRACT_FORMER_IMAGE>
ARG username=developer
RUN useradd -r -u 1001 -g $username $username
USER $username

然后，在开始工作之前，团队中的每个开发人员都应该使用 dockerfile 为新项目+开发人员特定容器构建自己的基础映像，并传递其用户名。

$ docker build --build-arg username=$USER Dockerfile

有一些更好的做法吗？

Answer 3

我建议您阅读此链接以全面了解 docker privileges - 对您而言，解决方案是使用 --user 命令运行 docker。