了解 Docker 用户/uid 创建

Question

即使经过大量材料和 SO 答案，我仍然不清楚 docker uid/用户的使用或实施。

我明白以下几点：

1. 图像的实例称为容器。
2. uid/gid 由底层内核维护，而不是由 Container 维护。
3. 内核理解 uid/gid 编号而不是用户名/组名，并且名称是别名，仅供人类阅读。
4. 所有容器都是由 docker daemon 维护的进程，并且将在主机中作为进程可见 (ps -ef)
5. root (id = 0) 是容器中的默认用户，这可以通过 Dockerfile 中的 USER 指令或通过在 docker run 中传递 -u 标志来更改

综上所述，当我的 Dockerfile 中有以下命令时，我假设将创建一个新用户 (my-user)，并增加 uid。

RUN addgroup my-group && adduser -D my-user -G my-group

• 如果我多次运行同一个映像（即多个容器）会发生什么？是否将相同的uid 分配给所有进程？

• 如果我在另一个映像中添加相同的上述命令并将该映像作为容器运行会发生什么？ - 我会得到新的uid 还是和之前一样的uid？

• uid 增量如何在 Container 中与主机相关。

任何指针都会有所帮助。

Answer 1

没有user namespace remapping，只有两件事重要：

1. numeric 用户 ID 是什么；和
2. /etc/passwd 文件中有什么内容。

请记住，每个容器和主机都有单独的文件系统，因此这些东西中的每一个都可以有单独的 /etc/passwd 文件。

如果我多次运行同一个图像（即多个容器）会发生什么？是否会为所有进程分配相同的 uid？

是的，因为每个容器都会从映像中获取相同 /etc/passwd 文件的副本。

如果我在另一个图像中添加相同的上述命令并将该图像作为容器运行会发生什么？ - 我会得到新的 uid 还是与以前的 uid 相同？

这取决于adduser 实际做了什么；可以相同也可以不同。

uid 增量如何在 Container 中与主机相关。

他们是完全独立的。

还请记住，您可以docker push/docker pull 构建映像以在不同的主机上运行它。这将带来图像的/etc/passwd 文件，但主机环境可能完全不同。相应地，尝试在 Dockerfile 中匹配某些特定主机的 uid 映射并不是最佳实践，因为如果您尝试在其他任何地方运行相同的映像，则会出错。

Answer 2

当您尝试在 RUN 语句中添加用户时，它不会在主机上创建用户。如果您没有在 Dockerfile 中使用 USER 语句或在启动容器时使用 -u 标志指定用户（假设父 Dockerfile 也不包含 USER 语句），则主机上的容器进程将简单地运行为 @987654325 @user 如果你已经以 root 身份启动了 docker 守护进程。

因此，如果您使用RUN addgroup my-group && adduser -D my-user -G my-group 创建一个用户，它只会在容器中创建一个用户，即该用户是容器的本地用户。因此，您运行的该映像的每个实例（容器）都将在容器内具有相同的用户 uid。 注意：该用户将不存在于主机上。

如果您想以另一个用户（存在于主机上）的身份在主机上运行容器进程，那么您有 3 个选项：

• 在 Dockerfile 中添加 USER 语句
• 在运行容器时使用-u 标志
• 您可以使用 docker 的用户命名空间功能

我强烈建议通过阅读以下文档了解用户命名空间和映射：Isolate containers with a user namespace