如何通过简单地从头开始在容器中设置随机 UID 来创建非 root 用户？

在Golang实战开发的过程中，我们经常会遇到一些这样那样的问题，然后要卡好半天，等问题解决了才发现原来一些细节知识点还是没有掌握好。今天golang学习网就整理分享《如何通过简单地从头开始在容器中设置随机 UID 来创建非 root 用户？》，聊聊，希望可以帮助到正在努力赚钱的你。

我正在使用 docker 设置 golang 服务器，为了安全起见，我希望非特权用户在其容器内启动它。

这是我使用的简单 dockerfile。我将二进制文件导入到容器中并设置随机 uid。

FROM scratch
WORKDIR /app
COPY --chown=1001:1001 my-app-binary my-app-binary
USER 1001
CMD ["/app/my-app-binary"]

如果我的服务器侦听端口 443，则它不起作用，因为它需要特权。因此，我的应用程序按预期由非特权用户运行。

尽管如此，用户 1001 并未正确创建。我看到的教程告诉我在中间“构建器”容器（例如 alpine）中创建用户并从中导入 /etc/passwd 。我没有找到任何例子做我所做的事情。 （这是我遵循的一个教程）

有人可以向我解释为什么我的解决方案有效或我不明白吗？

解决方案

披露：在我的回答中，我引用了 this blog post 的内容。我既不是这篇文章的作者，也与作者没有任何关系。

这是预期的 - 容器可以在容器不知道的用户下运行。引用docker run docs：

root (id = 0) 是容器内的默认用户。图像开发者可以创建额外的用户。可以通过名称访问这些用户。 传递数字 ID 时，用户不必存在于容器中。

-- https://docs.docker.com/engine/reference/#user

它可以帮助您解决如下问题：

-- https://medium.com/redbubble/running-a-docker-container-as-a-non-root-user-7d2e00f8ee15#7d3a

这是可能的，因为：

幸运的是，docker run 为我们提供了一种方法来执行此操作：the --user parameter。我们将使用它来指定 Docker 应该使用的用户 ID (UID) 和组 ID (GID)。这是可行的，因为 Docker 容器都共享相同的内核，因此共享相同的 UID 和 GID 列表，即使容器不知道关联的用户名（稍后会详细介绍）。

-- https://medium.com/redbubble/running-a-docker-container-as-a-non-root-user-7d2e00f8ee15#b430

上述内容也适用于 USER dockerfile command。

使用容器未知的 UID 有一些问题：

您的用户将不再是$HOME

我们实际上在这里做的是要求我们的 Docker 容器使用它一无所知的用户 ID 来执行操作，这会产生一些复杂性。也就是说，这意味着用户缺少一些我们已经学到的东西，只是希望用户拥有诸如主目录之类的东西。这可能会很麻烦，因为这意味着 $HOME  中的所有内容 — — 临时文件、应用程序设置、包缓存 — — 现在都无处可存。容器化进程无法知道将它们放在哪里。

当我们尝试做特定于用户的事情时，这可能会影响我们。我们发现使用 gem install （尽管使用 Bundler 没问题）或运行依赖于 ENV['HOME'] 的代码会导致问题。因此，如果您执行其中任何一项操作，这可能意味着您需要进行一些调整。

您的用户也将是无名的

事实证明，我们无法轻松地在 Docker 主机及其容器之间共享用户名。这就是为什么我们不能只使用 docker run --user=$(whoami) — 容器不知道你的用户名。它只能通过 UID 来了解您的用户。

这意味着当您在容器内运行 whoami 时，您将得到类似 I have no name! 的结果。这很有趣，但如果您的代码依赖于了解您的用户名，您可能会得到一些令人困惑的结果。

-- https://medium.com/redbubble/running-a-docker-container-as-a-non-root-user-7d2e00f8ee15#e295

好了，本文到此结束，带大家了解了《如何通过简单地从头开始在容器中设置随机 UID 来创建非 root 用户？》，希望本文对你有所帮助！关注golang学习网公众号，给大家分享更多Golang知识！