如何以非root用户运行Docker容器
閱讀本文約花費: 5 (分鐘)需要用root用户运行Docker? 组织中,经常以Root用户运行Docker中的容器。但是你的工作负载真的需要root权限吗?显然很少。尽管如此,默认情况下,你的容器仍将以root用户身份运行,但这可能会带来严重的安全问题。实际上,如果以root用户运行容器内部的进程,就是以root用户身份运行主机的进程。这就为那些恶意访问主机的攻击者,提供了机会。 只需在常用的任何镜像上使用以下命令,你就可以自己查看它使用的用户身份, 显然,作为最佳实践,我们应该避免以超级用户身份运行容器。因此,让我们看看如何以非root用户身份运行容器。 将非root用户添加到Dockerfile 你可以在Dockerfile中使用RUN命令创建用户,这个用户仅具有容器内工作负载所需的权限。 上面的命令行创建了一个用户newuser, 并指定了用户登录后使用的主目录和shell 。如下所示,将用户添加到你的Dockerfile中: 从第5行开始,每个命令都是以newuser身份而不是root身份运行。是不是很简单? 但是,我们并不总是仅使用自定义镜像。我们还使用了许多第三方镜像,因此我们无法像上面那样将root权限的用户注入其中。 这些第三方Docker镜像默认情况下将以root用户身份运行,除非我们对其进行处理。如果你使用不知名来源中的镜像,那么该镜像很可能嵌入了恶意命令,…