【发布时间】：2022-01-22 18:25:06
【问题描述】：
我正在努力强化我们的 docker 镜像，但我对它的理解已经有点薄弱了。话虽如此，我当前的步骤是阻止用户以 root 身份运行容器。对我来说，这就是说“当用户运行 'docker exec -it my-container bash' 时，他将是一个非特权用户”（如果我错了，请纠正我）。
当我通过 docker-compose 启动容器时，运行的启动脚本需要以 root 身份运行，因为它处理导入证书和挂载文件（在外部创建并通过卷挂载查看）。完成后，我希望用户成为“appuser”以供将来访问。这个问题似乎很符合我正在寻找的内容，但我使用的是 docker-compose，而不是 docker run：How to disable the root access of a docker container?
这似乎是相关的，因为启动命令与我们说的 tomcat 不同。我们正在运行一个 Spring Boot 应用程序，我们使用一个简单的“java -jar jarFile”启动它，并且该图像是使用 maven 的 dockerfile-maven-plugin 构建的。话虽如此，我应该在运行之前将用户更改为非特权用户，还是之后？
我相信更改 Dockerfile 中的用户而不是启动脚本会做到这一点……但它不会以 root 身份运行启动脚本，从而导致需要 root 的调用失败。我也搞砸了使用 ENTRYPOINT，但可能在那里做错了。同样，在 yml 文件中使用“user:”似乎会使 start.sh 脚本以该用户而不是 root 身份运行，所以这不起作用。
Dockerfile：
FROM parent/image:latest
ENV APP_HOME /apphome
ENV APP_USER appuser
ENV APP_GROUP appgroup
# Folder containing our application, i.e. jar file, resources, and scripts.
# This comes from unpacking our maven dependency
ADD target/classes/app ${APP_HOME}/
# Primarily just our start script, but some others
ADD target/classes/scripts /scripts/
# Need to create a folder that will be used at runtime
RUN mkdir -p ${APP_HOME}/data && \
chmod +x /scripts/*.sh && \
chmod +x ${APP_HOME}/*.*
# Create unprivileged user
RUN groupadd -r ${APP_GROUP} && \
useradd -g ${APP_GROUP} -d ${APP_HOME} -s /sbin/nologin -c "Unprivileged User" ${APP_USER} && \
chown -R ${APP_USER}:${APP_GROUP} ${APP_HOME}
WORKDIR $APP_HOME
EXPOSE 8443
CMD /opt/scripts/start.sh
start.sh 脚本：
#!/bin/bash
# setup SSL, modify java command, etc
# run our java application
java -jar "boot.jar"
# Switch users to always be unprivileged from here on out?
# Whatever "hardening" wants... Should this be before starting our application?
exec su -s "/bin/bash" $APP_USER
app.yml 文件：
version: '3.3'
services:
app:
image: app_image:latest
labels:
c2core.docker.compose.display-name: My Application
c2core.docker.compose.profiles: a_profile
volumes:
- "data_mount:/apphome/data"
- "cert_mount:/certs"
hostname: some-hostname
domainname: some-domain
ports:
- "8243:8443"
environment:
- some_env_vars
depends_on:
- another-app
networks:
a_network:
aliases:
- some-network
networks:
a_network:
driver: bridge
volumes:
data_mount:
cert_mount:
docker-compose shell 脚本：
docker-compose -f app.yml -f another-app.yml $@
我期望的是，任何试图在内部访问容器的人都将以 appuser 而不是 root 身份进行访问。目标是防止有人弄乱他们不应该做的事情（即 docker 本身）。
发生的情况是脚本将在应用启动后更改用户（通过 echo 命令证明），但似乎没有得到维护。如果我执行它，我仍然是 root。
【问题讨论】：
-
我假设你是正确的，你在容器初始化时实际上需要 root，但我会尝试在我的建议之前解决这个问题，即使用 gosu，它允许你以 root 身份运行你的容器，然后在您的入口点切换到另一个用户 - stackoverflow.com/questions/36781372/docker-using-gosu-vs-user.
标签： shell docker docker-compose dockerfile hardening