在 Dockerfile (Alpine) 中使用 sudo

Question

我有这个 Dockerfile ...

FROM keymetrics/pm2:latest-alpine

RUN apk update && \
    apk upgrade && \
    apk add \
       bash

COPY . ./

EXPOSE 1886 80 443

CMD pm2-docker start --auto-exit --env ${NODE_ENV} ecosystem.config.js

如何使用sudo 执行CMD 命令？

我需要这样做，因为端口 443 只允许 sudo 用户使用。

Answer 1

su-exec 可以在 alpine 中使用。 将其添加到包中，如果还没有，请将以下内容添加到您的 Dockerfile 中

RUN apk add --no-cache su-exec

在您将在 docker 中运行的脚本中，您可以使用以下命令成为另一个用户：

exec su-exec <my-user> <my command>

或者，您可以在构建 docker-file 时添加更熟悉的 sudo 包 将以下内容添加到来自 alpine 的 Dockerfile 中

RUN set -ex && apk --no-cache add sudo

之后就可以使用sudo了

sudo -u <my-user> <my command>

Answer 2

Sudo 通常不附带 Alpine 映像，将其包含在任何容器中几乎没有意义。您需要的不是绑定到低编号端口的 sudo，而是 root 用户本身，而 sudo 只是在多用户环境中获取 root 访问权限的常用方法。如果容器包含 sudo，您将需要使用密码设置用户，或者允许命令在没有密码的情况下运行。无论您选择哪种方式，您现在都可以在容器内进行权限提升，从而破坏了以普通用户身份运行容器的目的，因此您此时还不如以 root 身份运行容器。

如果上游镜像被配置为以非 root 用户身份运行（不太可能，因为您在构建期间运行了apk 命令），您可以在 Dockerfile 中指定USER root，并且以下所有步骤都将以 root 身份运行默认，包括容器入口点/cmd。

如果您以其他用户身份启动容器，例如docker run -u 1000 your_image，然后以 root 身份运行您的命令，您将删除 -u 1000 选项。如果您在限制容器以非 root 用户身份运行的更高安全性环境中运行容器，这可能是一个问题。

如果您的应用程序本身正在放弃 root 权限，那么包括 sudo 不太可能没有帮助，除非应用程序本身在内部调用了 sudo。如果是这种情况，请在绑定到端口后更新应用程序以删除 root 权限。

最重要的是，如果在容器中设置 root 的唯一原因是绑定到低编号端口，那么将容器内的应用程序配置为绑定到高编号端口，例如8080和8443。你可以把这个容器端口映射到宿主机上的任意端口，包括80和443，这样外界看不到任何影响。例如。 docker run -p 80:8080 -p 443:8443 your_image。这可以简化您的映像（删除 sudo 等工具）并同时提高您的安全性。