Dockerコンテナ内でnon root userとしてcronを実行する。

Question

Dockerコンテナ内でnon root userとしてcronを実行する。

受付中

回答 2

投稿 2019/01/09 02:04

評価
クリップ 1
VIEW 2,374

daicky777

score 16

Dockerコンテナ内でnon root userとしてcronを実行することは可能でしょうか？
可能であればどのように実行できるのでしょうか？
不可能であれば、rootでしかcronを実行する方法しかないということでしょうか？そうなった場合rootユーザーのままコンテナ起動してしまうことからセキュリティ上の懸念があるとおもうのですが、いかがでしょうか？

一応こちらでも一般ユーザーをcrontabグループに追加してCMD cronしたところ「cron: can't open or create /var/run/crond.pid: Permission denied」というエラーが吐き出されている状態です。

気になる質問をクリップする

クリップした質問は、後からいつでもマイページで確認できます。

またクリップした質問に回答があった際、通知やメールを受け取ることができます。

クリップを取り消します
良い質問の評価を上げる

以下のような質問は評価を上げましょう
- 質問内容が明確
- 自分も答えを知りたい
- 質問者以外のユーザにも役立つ
評価が高い質問は、TOPページの「注目」タブのフィードに表示されやすくなります。
質問の評価を上げたことを取り消します

評価を下げられる数の上限に達しました

評価を下げることができません
- 1日5回まで評価を下げられます
- 1日に1ユーザに対して2回まで評価を下げられます
質問の評価を下げる

teratailでは下記のような質問を「具体的に困っていることがない質問」、「サイトポリシーに違反する質問」と定義し、推奨していません。
- プログラミングに関係のない質問
- やってほしいことだけを記載した丸投げの質問
- 問題・課題が含まれていない質問
- 意図的に内容が抹消された質問
- 過去に投稿した質問と同じ内容の質問
- 広告と受け取られるような投稿
評価が下がると、TOPページの「アクティブ」「注目」タブのフィードに表示されにくくなります。
質問の評価を下げたことを取り消します

この機能は開放されていません

評価を下げる条件を満たしてません

評価を下げる理由を選択してください
プログラミングに関係のない質問やってほしいことだけを記載した丸投げの質問問題・課題が含まれていない質問意図的に内容が抹消された質問過去に投稿した質問と同じ内容の質問広告と受け取られるような投稿
詳細な説明はこちら

上記に当てはまらず、質問内容が明確になっていない質問には「情報の追加・修正依頼」機能からコメントをしてください。
質問の評価を下げる機能の利用条件

この機能を利用するためには、以下の事項を行う必要があります。
- 質問回答など一定の行動
- メールアドレスの認証
  メールアドレスの認証
- 質問評価に関するヘルプページの閲覧
  質問評価に関するヘルプページの閲覧

回答 2 件

評価が高い順
新着順
古い順

同じタグがついた質問を見る

Docker
cron

score 2 · Answer 1 · 2019-01-09T09:57

+2

rootユーザで起動してどういうセキュリティ上の懸念があるんでしょうか
それを気にするならカーネルの起動もできなさそうですが

投稿 2019/01/09 09:57

回答の評価を上げる

以下のような回答は評価を上げましょう
- 正しい回答
- わかりやすい回答
- ためになる回答
評価が高い回答ほどページの上位に表示されます。
回答の評価を下げる

下記のような回答は推奨されていません。
- 間違っている回答
- 質問の回答になっていない投稿
- スパムや攻撃的な表現を用いた投稿
評価を下げる際はその理由を明確に伝え、適切な回答に修正してもらいましょう。

2019/01/09 11:12 編集

自分も具体的にどういった形でセキュリティ上の懸念になるのかはわかりません。
ただ、「アプリケーションの防御を破った攻撃者は完全なアクセスを得てしまうことから、実働アプリケーションをコンテナ内でrootとして動かしてはいけません。」とdockerオライリー本に書かれていたことから、基本rootで動かしてはいけないのかなという思いもありますが、実際にdockerfileを書いている人のコードにはそこまで一般ユーザーを記載していなかったり、していたりするので本当のところ自分もrootで動かしていいのかダメなのかわからない状態です。

自分も具体的にどういった形でセキュリティ上の懸念になるのかはわかりません。ただ、「アプリケーションの防御を破った攻撃者は完全なアクセスを得てしまうことから、実働アプリケーションをコンテナ内でrootとして動かしてはいけません。」とdockerオライリー本に書かれていたことから、基本rootで動かしてはいけないのかなという思いもありますが、実際にdockerfileを書いている人のコードにはそこまで一般ユーザーを記載していなかったり、していたりするので本当のところ自分もrootで動かしていいのかダメなのかわからない状態です。

キャンセル
2019/01/09 11:17

何かわからないのにその対策を行う、というのは無意味ですんで、まず、具体的にどのような懸念があるかをはっきりさせましょう。
rootで実行しなければならないのを無理やり（セキュリティの穴を突いて）実行させるというのは本末転倒だ、というのはわかりますよね

何かわからないのにその対策を行う、というのは無意味ですんで、まず、具体的にどのような懸念があるかをはっきりさせましょう。 rootで実行しなければならないのを無理やり（セキュリティの穴を突いて）実行させるというのは本末転倒だ、というのはわかりますよね

キャンセル
2019/01/09 11:29

そうですね。
Rubyベースのコンテナにrailsとcronを入れてcronを実行しようとしていましたが、私の考えうる限りrootでコンテナを動かしてもセキュリティー上の懸念は実際はないとは思いますが、こういう場合にみなさんはrootで動かしちゃうのが普通なのかどうなのかわからなくて質問させて頂きました。
ケースバイケースだと言われてしまえばそうなのかも知れませんが。

そうですね。 Rubyベースのコンテナにrailsとcronを入れてcronを実行しようとしていましたが、私の考えうる限りrootでコンテナを動かしてもセキュリティー上の懸念は実際はないとは思いますが、こういう場合にみなさんはrootで動かしちゃうのが普通なのかどうなのかわからなくて質問させて頂きました。ケースバイケースだと言われてしまえばそうなのかも知れませんが。

キャンセル

score 0 · Answer 2 · 2019-01-09T15:51

0

設定周りは以下が参考になるかと。
https://qiita.com/YuukiMiyoshi/items/bb7f14436d60d4bd8a8b

3種類の方法が提示されています、貴殿のシステムでどれがふさわしいかご検討されると宜しいかと。

投稿 2019/01/09 15:51

回答の評価を上げる

以下のような回答は評価を上げましょう
- 正しい回答
- わかりやすい回答
- ためになる回答
評価が高い回答ほどページの上位に表示されます。
回答の評価を下げる

下記のような回答は推奨されていません。
- 間違っている回答
- 質問の回答になっていない投稿
- スパムや攻撃的な表現を用いた投稿
評価を下げる際はその理由を明確に伝え、適切な回答に修正してもらいましょう。

2019/01/09 18:13

ご回答ありがとうございます!!
この記事の一番目の方法（具体的には[#実行ユーザを追加]の部分)を行おうとしたのですが問題があります。

Dockerfile一番最後のcrondというコマンドですがそのコマンドがそもそも見つかりません。
自分の作成したコンテナではcronコマンドとcronta bを使用できるため、当記事のcrondの部分をcronに変えて実行すると「cron: can't open or create /var/run/crond.pid: Permission denied」というエラーが発生してしまいます。(これは恐らく一般ユーザーでcronコマンドを実行しようとしているため？)

ご回答ありがとうございます!! この記事の一番目の方法（具体的には[#実行ユーザを追加]の部分)を行おうとしたのですが問題があります。 Dockerfile一番最後のcrondというコマンドですがそのコマンドがそもそも見つかりません。自分の作成したコンテナではcronコマンドとcronta bを使用できるため、当記事のcrondの部分をcronに変えて実行すると「cron: can't open or create /var/run/crond.pid: Permission denied」というエラーが発生してしまいます。(これは恐らく一般ユーザーでcronコマンドを実行しようとしているため？)

キャンセル
2019/01/09 19:58

crondが無いということですが、CentOSでcronがインストールされていないということでしょうか？
cronを実行したいのであれば、当然cronをインストールしてください。anacronでよければ、それに沿って設定を変更してください。

ちなみに、cronが定期的に実行するのではなく、cron/crontabでcrondが処理をするための設定ファイルを書き換えるものです。

crondが無いということですが、CentOSでcronがインストールされていないということでしょうか？ cronを実行したいのであれば、当然cronをインストールしてください。anacronでよければ、それに沿って設定を変更してください。ちなみに、cronが定期的に実行するのではなく、cron/crontabでcrondが処理をするための設定ファイルを書き換えるものです。

キャンセル
2019/01/10 12:30

現在自分のDockerfileにはUserをrootではなく一般ユーザーに切り替えてコンテナを起動しています。
したがって[CMD cron]実行部の部分で「cron: can't open or create /var/run/crond.pid: Permission denied」というエラーが発生しているものと思われます。
該当記事ではUserをrootではなく一般ユーザーに切り替えるという部分がないためにちゃんと動作しているためと思われます。
ではなぜ、自分のDockerfileにはUserをrootではなく一般ユーザーに切り替えているのかというとrootでコンテナを動かしてもセキュリテイ的に良いのかどうかわからないのですが、どのように思いますか？
ネットや本を見ると意見が分かれているようにも思うのですが、、、。

現在自分のDockerfileにはUserをrootではなく一般ユーザーに切り替えてコンテナを起動しています。したがって[CMD cron]実行部の部分で「cron: can't open or create /var/run/crond.pid: Permission denied」というエラーが発生しているものと思われます。該当記事ではUserをrootではなく一般ユーザーに切り替えるという部分がないためにちゃんと動作しているためと思われます。ではなぜ、自分のDockerfileにはUserをrootではなく一般ユーザーに切り替えているのかというとrootでコンテナを動かしてもセキュリテイ的に良いのかどうかわからないのですが、どのように思いますか？ネットや本を見ると意見が分かれているようにも思うのですが、、、。

キャンセル
2019/01/10 14:07

> 該当記事ではUserをrootではなく一般ユーザーに切り替えるという部分がない

dev-userが一般ユーザーかと思いましたが、違いますかね。

> 該当記事ではUserをrootではなく一般ユーザーに切り替えるという部分がない dev-userが一般ユーザーかと思いましたが、違いますかね。

キャンセル
2019/01/10 15:29 編集

Dockerfileの命令文の１つであるUSERコマンド + User名を使用していないため、このコンテナ自体はrootで動いているdockerコンテナかと思います。（記事を見るとユーザー、グループをコンテナ内に追加はしているのはわかりますが、、。）

Dockerfileの命令文の１つであるUSERコマンド + User名を使用していないため、このコンテナ自体はrootで動いているdockerコンテナかと思います。（記事を見るとユーザー、グループをコンテナ内に追加はしているのはわかりますが、、。）

キャンセル
2019/01/10 17:38

失礼しました、cronデーモンのユーザーのことかと思いました。
そうすると、/var/run/crond.pidはホスト側のファイルを参照しているのでしょうか？
コンテナ内部で閉じているのであれば、コンテナのユーザは関係ないですよね。

失礼しました、cronデーモンのユーザーのことかと思いました。そうすると、/var/run/crond.pidはホスト側のファイルを参照しているのでしょうか？コンテナ内部で閉じているのであれば、コンテナのユーザは関係ないですよね。

キャンセル
2019/01/13 18:41

コンテナ内のファイルを参照しているのかと思います。
コンテナ内でUserを一般ユーザーに切り替えてcronコマンドを実行するとコンテナ内の/var/run/crond.pidを参照してエラーが起きるものと思われます。
rootユーザーのままでやればうまく行くのですが、果たしてrootでコンテナを動かしてもいいものなのかが分かりません。

コンテナ内のファイルを参照しているのかと思います。コンテナ内でUserを一般ユーザーに切り替えてcronコマンドを実行するとコンテナ内の/var/run/crond.pidを参照してエラーが起きるものと思われます。 rootユーザーのままでやればうまく行くのですが、果たしてrootでコンテナを動かしてもいいものなのかが分かりません。

キャンセル
2019/01/16 15:37

結局cronは関係なく、「果たしてrootでコンテナを動かす」ことに対する懸念でしょうか。
こちらが参考になるかと。
https://qiita.com/matyapiro31/items/3e6398ce737e2cdb5a22

結局cronは関係なく、「果たしてrootでコンテナを動かす」ことに対する懸念でしょうか。こちらが参考になるかと。 https://qiita.com/matyapiro31/items/3e6398ce737e2cdb5a22

キャンセル
2019/02/08 10:30

記事の共有ありがとうございます。
そうですね。そもそもコンテナをrootで動かしてもいいのかという疑問（人によって見解が色々なので）と、ダメならばどういう方法があるのかということを知りたかったです。
記事にあるように名前空間の仕組みを使うのが適当そうですが、あまりそれについての記事がなく、実装するのがなかなか難しそうです。

記事の共有ありがとうございます。そうですね。そもそもコンテナをrootで動かしてもいいのかという疑問（人によって見解が色々なので）と、ダメならばどういう方法があるのかということを知りたかったです。記事にあるように名前空間の仕組みを使うのが適当そうですが、あまりそれについての記事がなく、実装するのがなかなか難しそうです。

キャンセル

質問をすることでしか得られない、回答やアドバイスがある。

15分調べてもわからないことは、質問しよう！

Dockerコンテナ内でnon root userとしてcronを実行する。

関連した質問

同じタグがついた質問を見る

質問をすることでしか得られない、回答やアドバイスがある。

15分調べてもわからないことは、質問しよう！

Dockerコンテナ内でnon root userとしてcronを実行する。

15分調べてもわからないことは、teratailで質問しよう！

関連した質問

同じタグがついた質問を見る

SNSアカウントでログイン

teratailアカウントでログイン