在没有 sudo 的情况下运行 docker 命令，而不在组中添加用户答案

【问题标题】：Run docker commands without sudo & without adding user in group在没有 sudo 的情况下运行 docker 命令，而不在组中添加用户
【发布时间】：2021-09-19 08:20:46
【问题描述】：

我们需要在没有 sudo 用户或不将用户添加到 docker 组的情况下运行 docker 命令。

我尝试在无根 docker 上进行探索，但它没有安装在我们的 centos 7 机器上。

参考：https://docs.docker.com/engine/security/rootless/

我们正在为所有其他用户使用 NIS，因此，我们想做一些事情，因为我们拥有的所有开发人员都可以使用 docker，而无需实际向他们提供 sudo 访问权限。

另外，我们不想将这么多用户添加到 docker 组中。

我们的机器配置：

# cat /etc/os-release
NAME="CentOS Linux"
VERSION="7 (Core)"
ID="centos"
ID_LIKE="rhel fedora"
VERSION_ID="7"
PRETTY_NAME="CentOS Linux 7 (Core)"
ANSI_COLOR="0;31"
CPE_NAME="cpe:/o:centos:centos:7"
HOME_URL="https://www.centos.org/"
BUG_REPORT_URL="https://bugs.centos.org/"

CENTOS_MANTISBT_PROJECT="CentOS-7"
CENTOS_MANTISBT_PROJECT_VERSION="7"
REDHAT_SUPPORT_PRODUCT="centos"
REDHAT_SUPPORT_PRODUCT_VERSION="7"

【问题讨论】：

当用户可以启动 docker 容器时，他们几乎拥有主机上的 root 访问权限。 docs.docker.com/engine/security/#docker-daemon-attack-surface
哦！但实际上我们已经将所有东西都容器化了，这对于我们组织中的开发人员使用 Docker 命令是非常必要的。 :(

标签： linux docker centos7

【解决方案1】：

如果这是关于锁定对远程服务器的访问，那么您可以为 mtls 加密通信启用 :2376 套接字，而不是允许通过 SSH 访问 docker。现在问题变成了证书分发问题之一，可以说是更糟。

正如 cmets 中所述，dockerd 运行的任何用户都是有权访问 docker api 的人运行的有效用户，因为 docker 没有尝试 RBAC。如果你想要这样，尽管我很喜欢 docker 和 docker swarm，但这是你的要求真正表明你应该使用 Kubernetes 的那些点之一。

【讨论】：