Dockerfile 中的用户权限管理

在 Docker 容器中运行应用程序时安全性是首要考虑的问题之一。默认情况下容器以 root 用户身份运行这在某些情况下可能带来安全风险。今天我们将探讨如何在 Dockerfile 中添加非 root 用户并确保容器以该用户身份运行同时解决可能遇到的权限问题。初识问题假设我们有一个简单的 Java 应用程序它的 Dockerfile 如下FROM something/openjdk-17:1.13-1 WORKDIR /opt/app COPY ./build/libs/*.jar app.jar CMD java ${JAVA_OPTS:- -Xmx1G} -jar app.jar这是一个标准的 Dockerfile但是它会以 root 用户运行。这里我们尝试修改它使容器以非 root 用户身份运行FROM something/openjdk-17:1.13-1 RUN adduser -D myuser chown -R myuser /opt/app WORKDIR /opt/app COPY ./build/libs/*.jar app.jar USER myuser CMD java ${JAVA_OPTS:- -Xmx1G} -jar app.jar然而在执行构建时我们遇到了问题The command /bin/sh -c adduser -D myuser chown -R myuser /opt/app returned a non-zero code: 2问题分析目录不存在: 在执行chown命令之前/opt/app目录并不存在。WORKDIR命令不会创建目录。用户创建命令:adduser命令在某些 Linux 发行版中可能不适用更通用的命令是useradd。用户名混淆: 在示例中提到的用户名不一致trmonbsvsmyuser。解决方案以下是修正后的 DockerfileFROM openjdk:11 WORKDIR /opt/app RUN useradd -r myuser chown -R myuser /opt/app COPY *.jar app.jar USER myuser CMD java ${JAVA_OPTS:- -Xmx1G} -jar app.jar解释首先我们使用useradd -r创建一个系统用户myuser-r选项表示创建一个系统用户。然后我们使用chown -R命令递归地将/opt/app目录的所有权更改为myuser。WORKDIR命令在RUN之后执行确保目录存在。最后我们使用USER命令切换到myuser用户运行应用程序。权限问题如果仍然遇到权限问题可以尝试以下方法RUN useradd -r -g root myuser chown -R myuser:root /opt/app这里我们将myuser添加到 root 组并将/opt/app的所有权设置为myuser:root这赋予了myuser更高的权限。结论通过上述步骤我们可以成功地在 Dockerfile 中创建一个非 root 用户并确保应用程序以该用户身份运行。这样不仅提升了容器的安全性也避免了由于权限问题导致的运行错误。记住Docker 的学习和实践需要不断的尝试和调整以找到最适合自己项目的配置。