linux - 如何在 docker 容器中生成与主机用户具有相同所有者的文件

Question

我使用 docker 容器在我的 git 存储库中完成一些开发任务。

我使用的容器是专门为每个项目构建的，这样每个贡献者只需要 docker CLI 就可以完成工作。

坏的一面是容器以root身份运行，因此一旦容器停止，生成的文件就归root所有，这很糟糕..

我无法在退出前更改容器中的所有者，因为容器/etc/passwd 文件中没有所需的用户。

我会在编译 docker 镜像之前在容器中创建一个用户，但这样容器就不是通用的(对于我的所有开发团队)。

最佳实践是什么？

Answer 1

您可以将您的用户添加到镜像中，以 root 身份启动容器，并使用入口点调整容器内的 uid/gid 以匹配您的开发人员安装的卷。然后切换到您的容器用户以运行您的应用。

为了实现这一点，我使用了一个包含以下几行的入口点 shell 脚本:

  OLD_UID=`getent passwd "${opt_u}" | cut -f3 -d:`
  NEW_UID=`ls -nd "$1" | cut -f3 -d' '`
  if [ "$OLD_UID" != "$NEW_UID" ]; then
    usermod -u "$NEW_UID" "$opt_u"
    if [ -n "$opt_r" ]; then
      find / -mount -uid "$OLD_UID" -exec chown "$opt_u" {} \;
    fi
  fi
  OLD_GID=`getent group "${opt_g}" | cut -f3 -d:`
  NEW_GID=`ls -nd "$1" | cut -f4 -d' '`
  if [ "$OLD_GID" != "$NEW_GID" ]; then
    groupmod -g "$NEW_GID" "$opt_g"
    if [ -n "$opt_r" ]; then
      find / -mount -gid "$OLD_GID" -exec chgrp "$opt_g" {} \;
    fi
  fi

在该脚本中，$1 是卷挂载路径，opt_u 是容器内的用户名，opt_g 是组名，以及opt_r 是递归调整容器内文件系统的标志。

在入口点的最后，我开始:

exec gosu "${RUN_AS}" "$@"

切换到用户 $RUN_AS 并执行作为该用户和 pid 1 传递到入口点的命令。Gosu 用于避免 su 作为 pid 运行1.

我之前发布了一个类似的例子，使用 Jenkins 作为容器内的应用程序来匹配 docker 套接字的 GID。您可以在此处找到包含所有步骤的存储库:https://github.com/bmitch3020/jenkins-docker

这具有使图像可移植到任何开发人员系统的显着优势，并且他们可以使用相同的命令运行它。无论文件系统上的权限是什么，它们从外部映射到容器中都会成为用户在容器内运行命令的 uid/gid。无需为您的 docker run 命令在开发人员系统上查找本地 uid/gid，也无需在每个具有唯一 uid/gid 条目的开发人员工作站上构建您的镜像。此实现的唯一缺点是 docker exec 将以 root 身份进入容器，因为您需要以 root 身份运行入口点才能访问修改用户/组和文件系统所有权。