linux - 删除容器内的权限

Question

我的一张图片需要安装设备。因此，它在启动时需要 cap_sys_admin。但是，一旦不再需要，我想放弃此功能。

是否有某种方法可以在稍后阶段放弃该功能？

Answer 1

您应该考虑使用一个体积来完成这些数量，而不是要求容器从内部完成它们。

例如，而不是做:

docker run --cap-add SYS_ADMIN ...

然后在里面调用mount:

mount -t nfs server:/some/path /local/path

相反，您可以像这样使用“本地”驱动程序创建卷:

docker volume create -d local -o type=nfs -o device=:/some/path -o o=addr=server,rw my_volume

然后在可以运行容器时使用它:

docker run -v my_volume:/local/path ...

当容器启动时，主机将处理挂载，因为文件系统将对容器可用。容器不需要添加任何功能。