Wie füge ich Benutzer zum Docker-Container hinzu?

Ich habe einen Docker-Container mit einigen Prozessen (Uwsgi und Sellerie). Ich möchte einen Sellerie-Benutzer und einen UWSGI-Benutzer für diese Prozesse sowie eine Arbeitsgruppe erstellen, zu der beide gehören, um Berechtigungen zuzuweisen.

Ich habe versucht, RUN adduser uwsgiund RUN adduser celeryzu meiner Docker-Datei hinzuzufügen, aber dies verursacht Probleme, da diese Befehle zur Eingabe auffordern (ich habe die Antworten aus dem folgenden Build veröffentlicht).

Wie können Benutzer am besten zu einem Docker-Container hinzugefügt werden, um Berechtigungen für Mitarbeiter festzulegen, die im Container ausgeführt werden?

Mein Docker-Image basiert auf der offiziellen Ubuntu14.04-Basis.

Hier ist die Ausgabe der Docker-Datei, wenn die Adduser-Befehle ausgeführt werden:

Adding user `uwsgi' ...
Adding new group `uwsgi' (1000) ... 
Adding new user `uwsgi' (1000) with group `uwsgi' ... 
Creating home directory `/home/uwsgi' ...
Copying files from `/etc/skel' ... 
[91mEnter new UNIX password: Retype new UNIX password: [0m 
[91mpasswd: Authentication token manipulation error
passwd: password unchanged
[0m 
[91mUse of uninitialized value $answer in chop at /usr/sbin/adduser line 563.
[0m 
[91mUse of uninitialized value $answer in pattern match (m//) at /usr/sbin/adduser line 564.
[0m 
Try again? [y/N] 
Changing the user information for uwsgi
Enter the new value, or press ENTER for the default
    Full Name []: 
Room Number []:     Work Phone []:  Home Phone []:  Other []: 
[91mUse of uninitialized value $answer in chop at /usr/sbin/adduser line 589.
[0m 
[91mUse of uninitialized value $answer in pattern match (m//) at /usr/sbin/adduser line 590.
[0m 
Is the information correct? [Y/n] 
---> 258f2f2f13df 
Removing intermediate container 59948863162a 
Step 5 : RUN adduser celery 
---> Running in be06f1e20f64 
Adding user `celery' ...
Adding new group `celery' (1001) ... 
Adding new user `celery' (1001) with group `celery' ... 
Creating home directory `/home/celery' ...
Copying files from `/etc/skel' ... 
[91mEnter new UNIX password: Retype new UNIX password: [0m 
[91mpasswd: Authentication token manipulation error
passwd: password unchanged
[0m 
[91mUse of uninitialized value $answer in chop at /usr/sbin/adduser line 563.
[0m 
[91mUse of uninitialized value $answer in pattern match (m//) at /usr/sbin/adduser line 564.
[0m 
Try again? [y/N] 
Changing the user information for celery
Enter the new value, or press ENTER for the default
    Full Name []:   Room Number []:     Work Phone []: 
Home Phone []:  Other []: 
[91mUse of uninitialized value $answer in chop at /usr/sbin/adduser line 589.
[0m 
[91mUse of uninitialized value $answer in pattern match (m//) at /usr/sbin/adduser line 590.
[0m 
Is the information correct? [Y/n] 

Der Trick besteht darin, useraddanstelle des interaktiven Wrappers zu verwenden adduser. Normalerweise erstelle ich Benutzer mit:

RUN useradd -ms /bin/bash newuser

Dadurch wird ein Home-Verzeichnis für den Benutzer erstellt und sichergestellt, dass Bash die Standard-Shell ist.

Sie können dann hinzufügen:

USER newuser
WORKDIR /home/newuser

zu Ihrer Docker-Datei. Jeder nachfolgende Befehl sowie interaktive Sitzungen werden als Benutzer ausgeführt newuser:

docker run -t -i image
newuser@131b7ad86360:~$

Möglicherweise müssen Sie newuserdie Berechtigungen zum Ausführen der Programme erteilen , die Sie ausführen möchten, bevor Sie den Benutzerbefehl aufrufen.

Die Verwendung nicht privilegierter Benutzer in Containern ist aus Sicherheitsgründen eine gute Idee. Es hat auch einige Nachteile. Am wichtigsten ist, dass Personen, die Bilder von Ihrem Bild ableiten, wieder zu root wechseln müssen, bevor sie Befehle mit Superuser-Berechtigungen ausführen können.

Um die interaktiven Fragen von adduser zu vermeiden, können Sie sie mit folgenden Parametern aufrufen:

RUN adduser --disabled-password --gecos '' newuser

Mit dem --gecosParameter werden die zusätzlichen Informationen festgelegt. In diesem Fall ist es nur leer.

Verwenden Sie auf Systemen mit Busybox (wie Alpine)

RUN adduser -D -g '' newuser

Siehe Busybox-Adduser

Ubuntu

Versuchen Sie die folgenden Zeilen in Dockerfile:

RUN useradd -rm -d /home/ubuntu -s /bin/bash -g root -G sudo -u 1001 ubuntu
USER ubuntu
WORKDIR /home/ubuntu

useraddOptionen (siehe :) man useradd:

• -r, --systemErstellen Sie ein Systemkonto. ^{Siehe: Auswirkungen beim Erstellen von Systemkonten}
• -m, --create-homeErstellen Sie das Home-Verzeichnis des Benutzers.
• -d, --home-dir HOME_DIRHome-Verzeichnis des neuen Kontos.
• -s, --shell SHELLLogin-Shell des neuen Kontos.
• -g, --gid GROUPName oder ID der Primärgruppe.
• -G, --groups GROUPSListe der Zusatzgruppen.
• -u, --uid UIDBenutzer-ID angeben. ^{Siehe: Grundlegendes zur Funktionsweise von UID und GID in Docker-Containern}
• -p, --password PASSWORDVerschlüsseltes Passwort des neuen Kontos (zB ubuntu).

Festlegen des Standardbenutzerkennworts

Fügen Sie zum Festlegen des Benutzerkennworts -p "$(openssl passwd -1 ubuntu)"den useraddBefehl hinzu.

Alternativ können Sie die folgenden Zeilen zu Ihrem hinzufügen Dockerfile:

SHELL ["/bin/bash", "-o", "pipefail", "-c"]
RUN echo 'ubuntu:ubuntu' | chpasswd

Die erste Shell-Anweisung besteht darin, sicherzustellen, dass die -o pipefailOption zuvor RUNmit einer Pipe aktiviert wurde . Lesen Sie mehr: Hadolint: Flusen Sie Ihre Docker-Datei .

Das Hinzufügen eines Benutzers im Docker und das Ausführen Ihrer App unter diesem Benutzer ist aus Sicherheitsgründen eine sehr gute Vorgehensweise. Dazu würde ich folgende Schritte empfehlen:

FROM node:10-alpine

# Copy source to container
RUN mkdir -p /usr/app/src

# Copy source code
COPY src /usr/app/src
COPY package.json /usr/app
COPY package-lock.json /usr/app

WORKDIR /usr/app

# Running npm install for production purpose will not run dev dependencies.
RUN npm install -only=production    

# Create a user group 'xyzgroup'
RUN addgroup -S xyzgroup

# Create a user 'appuser' under 'xyzgroup'
RUN adduser -S -D -h /usr/app/src appuser xyzgroup

# Chown all the files to the app user.
RUN chown -R appuser:xyzgroup /usr/app

# Switch to 'appuser'
USER appuser

# Open the mapped port
EXPOSE 3000

# Start the process
CMD ["npm", "start"]

Die obigen Schritte sind ein vollständiges Beispiel für das Kopieren von NodeJS-Projektdateien, das Erstellen einer Benutzergruppe und eines Benutzers, das Zuweisen von Berechtigungen zum Benutzer für den Projektordner, das Wechseln zum neu erstellten Benutzer und das Ausführen der App unter diesem Benutzer.

Sie können Open Source Dockerfile imitieren, zum Beispiel:

Knoten: Knoten 12-Github

RUN groupadd --gid 1000 node \
    && useradd --uid 1000 --gid node --shell /bin/bash --create-home node

Obermenge: Obermenge-Github

RUN useradd --user-group --create-home --no-log-init --shell /bin/bash 
    superset

Ich denke, es ist eine gute Möglichkeit, Open Source zu folgen.

Jeder hat seinen persönlichen Favoriten, und das ist meiner:

RUN useradd --user-group --system --create-home --no-log-init app
USER app

Referenz: man useradd

Die RUNZeile fügt den Benutzer und die Gruppe hinzu app:

root@ef3e54b60048:/# id app
uid=999(app) gid=999(app) groups=999(app)

Verwenden Sie einen spezifischeren Namen, als appwenn das Bild als Basisbild wiederverwendet werden soll. Nebenbei, fügen --shell /bin/bashSie hinzu , wenn Sie wirklich brauchen.

Teilkredit: Antwort von Ryan M.

Alternativ können Sie dies auch tun.

RUN addgroup demo && adduser -DH -G demo demo

Der erste Befehl erstellt eine Gruppe namens Demo . Der zweite Befehl erstellt einen Demo- Benutzer und fügt ihn der zuvor erstellten Demo- Gruppe hinzu.

Flags steht für:

-G Group
-D Don't assign password
-H Don't create home directory

Fügen Sie diese Zeile Ihrer Docker-Datei hinzu (Sie können jeden Linux-Befehl auf diese Weise ausführen).

RUN useradd -ms /bin/bash yourNewUserName