Jak dodać użytkowników do kontenera Docker?

Mam wewnątrz kontener dokera z niektórymi procesami (uwsgi i seler). Chcę utworzyć użytkownika selera i użytkownika uwsgi dla tych procesów, a także grupę roboczą, do której oboje będą należeć, w celu przypisania uprawnień.

Próbowałem dodać RUN adduser uwsgii RUN adduser celerydo mojego pliku Docker, ale powoduje to problemy, ponieważ te polecenia proszą o podanie danych (opublikowałem odpowiedzi z kompilacji poniżej).

Jaki jest najlepszy sposób dodawania użytkowników do kontenera Docker, aby ustawić uprawnienia dla pracowników działających w kontenerze?

Mój obraz Dockera jest zbudowany z oficjalnej bazy Ubuntu14.04.

Oto dane wyjściowe z pliku Docker po uruchomieniu poleceń adduser:

Adding user `uwsgi' ...
Adding new group `uwsgi' (1000) ... 
Adding new user `uwsgi' (1000) with group `uwsgi' ... 
Creating home directory `/home/uwsgi' ...
Copying files from `/etc/skel' ... 
[91mEnter new UNIX password: Retype new UNIX password: [0m 
[91mpasswd: Authentication token manipulation error
passwd: password unchanged
[0m 
[91mUse of uninitialized value $answer in chop at /usr/sbin/adduser line 563.
[0m 
[91mUse of uninitialized value $answer in pattern match (m//) at /usr/sbin/adduser line 564.
[0m 
Try again? [y/N] 
Changing the user information for uwsgi
Enter the new value, or press ENTER for the default
    Full Name []: 
Room Number []:     Work Phone []:  Home Phone []:  Other []: 
[91mUse of uninitialized value $answer in chop at /usr/sbin/adduser line 589.
[0m 
[91mUse of uninitialized value $answer in pattern match (m//) at /usr/sbin/adduser line 590.
[0m 
Is the information correct? [Y/n] 
---> 258f2f2f13df 
Removing intermediate container 59948863162a 
Step 5 : RUN adduser celery 
---> Running in be06f1e20f64 
Adding user `celery' ...
Adding new group `celery' (1001) ... 
Adding new user `celery' (1001) with group `celery' ... 
Creating home directory `/home/celery' ...
Copying files from `/etc/skel' ... 
[91mEnter new UNIX password: Retype new UNIX password: [0m 
[91mpasswd: Authentication token manipulation error
passwd: password unchanged
[0m 
[91mUse of uninitialized value $answer in chop at /usr/sbin/adduser line 563.
[0m 
[91mUse of uninitialized value $answer in pattern match (m//) at /usr/sbin/adduser line 564.
[0m 
Try again? [y/N] 
Changing the user information for celery
Enter the new value, or press ENTER for the default
    Full Name []:   Room Number []:     Work Phone []: 
Home Phone []:  Other []: 
[91mUse of uninitialized value $answer in chop at /usr/sbin/adduser line 589.
[0m 
[91mUse of uninitialized value $answer in pattern match (m//) at /usr/sbin/adduser line 590.
[0m 
Is the information correct? [Y/n] 

Sztuką jest użycie useraddzamiast interaktywnego opakowania adduser. Zwykle tworzę użytkowników za pomocą:

RUN useradd -ms /bin/bash newuser

który tworzy katalog domowy dla użytkownika i zapewnia, że ​​bash jest domyślną powłoką.

Następnie możesz dodać:

USER newuser
WORKDIR /home/newuser

do twojego pliku dokującego. Każde kolejne polecenie, a także sesje interaktywne będą wykonywane jako użytkownik newuser:

docker run -t -i image
newuser@131b7ad86360:~$

Być może będziesz musiał udzielić newuseruprawnień do uruchamiania programów, które zamierzasz uruchomić przed wywołaniem polecenia użytkownika.

Używanie nieuprzywilejowanych użytkowników w kontenerach jest dobrym pomysłem ze względów bezpieczeństwa. Ma również kilka wad. Co najważniejsze, osoby pobierające obrazy z twojego obrazu będą musiały przełączyć się z powrotem na root, zanim będą mogły wykonywać polecenia z uprawnieniami administratora.

Aby uniknąć interaktywnych pytań według adduser, możesz wywołać je za pomocą następujących parametrów:

RUN adduser --disabled-password --gecos '' newuser

Ten --gecosparametr służy do ustawiania dodatkowych informacji. W tym przypadku jest po prostu pusty.

W systemach z busybox (takich jak Alpine) użyj

RUN adduser -D -g '' newuser

Zobacz adduser busybox

Ubuntu

Wypróbuj następujące linie w Dockerfile:

RUN useradd -rm -d /home/ubuntu -s /bin/bash -g root -G sudo -u 1001 ubuntu
USER ubuntu
WORKDIR /home/ubuntu

useraddopcje (patrz man useradd:):

• -r, --systemUtwórz konto systemowe. ^{patrz: Implikacje dotyczące tworzenia kont systemowych}
• -m, --create-homeUtwórz katalog domowy użytkownika.
• -d, --home-dir HOME_DIRKatalog domowy nowego konta.
• -s, --shell SHELLPowłoka logowania nowego konta.
• -g, --gid GROUPNazwa lub identyfikator grupy podstawowej.
• -G, --groups GROUPSLista grup uzupełniających.
• -u, --uid UIDPodaj identyfikator użytkownika. ^{patrz: Zrozumienie działania identyfikatorów UID i GID w kontenerach Docker}
• -p, --password PASSWORDZaszyfrowane hasło nowego konta (np ubuntu.).

Ustawienie domyślnego hasła użytkownika

Aby ustawić hasło użytkownika, dodaj -p "$(openssl passwd -1 ubuntu)"do useraddpolecenia.

Możesz też dodać następujące wiersze do Dockerfile:

SHELL ["/bin/bash", "-o", "pipefail", "-c"]
RUN echo 'ubuntu:ubuntu' | chpasswd

Pierwszą instrukcją powłoki jest upewnienie się, że -o pipefailopcja jest wcześniej włączona RUNz rurką w niej. Czytaj więcej: Hadolint: Linting your Dockerfile .

Dodawanie użytkownika w oknie dokowanym i uruchamianie aplikacji pod tym użytkownikiem jest bardzo dobrą praktyką z punktu widzenia bezpieczeństwa. Aby to zrobić, polecam poniższe kroki:

FROM node:10-alpine

# Copy source to container
RUN mkdir -p /usr/app/src

# Copy source code
COPY src /usr/app/src
COPY package.json /usr/app
COPY package-lock.json /usr/app

WORKDIR /usr/app

# Running npm install for production purpose will not run dev dependencies.
RUN npm install -only=production    

# Create a user group 'xyzgroup'
RUN addgroup -S xyzgroup

# Create a user 'appuser' under 'xyzgroup'
RUN adduser -S -D -h /usr/app/src appuser xyzgroup

# Chown all the files to the app user.
RUN chown -R appuser:xyzgroup /usr/app

# Switch to 'appuser'
USER appuser

# Open the mapped port
EXPOSE 3000

# Start the process
CMD ["npm", "start"]

Powyższe kroki to pełny przykład kopiowania plików projektu NodeJS, tworzenia grupy użytkowników i użytkownika, przypisywania uprawnień do folderu projektu, przełączania do nowo utworzonego użytkownika i uruchamiania aplikacji pod tym użytkownikiem.

Możesz naśladować plik Dockerfile typu open source, na przykład:

Węzeł: node12-github

RUN groupadd --gid 1000 node \
    && useradd --uid 1000 --gid node --shell /bin/bash --create-home node

superset: superset-github

RUN useradd --user-group --create-home --no-log-init --shell /bin/bash 
    superset

Myślę, że to dobry sposób na podążanie za open source.

Każdy ma swojego ulubionego, a to jest moje:

RUN useradd --user-group --system --create-home --no-log-init app
USER app

Odniesienie: man useradd

RUNLinia doda użytkownika i grupę app:

root@ef3e54b60048:/# id app
uid=999(app) gid=999(app) groups=999(app)

Użyj bardziej szczegółowej nazwy, niż appjeśli obraz ma zostać ponownie użyty jako obraz podstawowy. Na marginesie, uwzględnij, --shell /bin/bashjeśli naprawdę potrzebujesz.

Częściowe uznanie: odpowiedź Ryana M.

Możesz to zrobić w ten sposób.

RUN addgroup demo && adduser -DH -G demo demo

Pierwsze polecenie tworzy grupę o nazwie demo . Drugie polecenie tworzy użytkownika demonstracyjnego i dodaje go do wcześniej utworzonej grupy demonstracyjnej .

Flagi oznaczają:

-G Group
-D Don't assign password
-H Don't create home directory

Dodaj tę linię do pliku Docker (możesz w ten sposób uruchomić dowolne polecenie linux)

RUN useradd -ms /bin/bash yourNewUserName