コンテナ内のプロセスを非ルートで実行したい。

Question

参照したURLは下記。
参照記事1
参照記事2

とても基本的なことだとは想いますが、両者の記事以外でのやり方でDockerfileにタイトルの通り、直書きのやり方を教えて頂けませんでしょうか？

Comments

[gentaro]

なんか日本語として色々怪しいんですが
「直書きのやり方」って何を指してるんですか？

[bsdfan]

> 非ルートユーザでDockerコンテナを実効したい
とのことですが、
1. コンテナの中のプロセスを非ルートで実行したい
2. dockerのデーモンを非ルートで動かしたい
のどちらですか？
参照先も、両者でやろうとしていることが違っています。

[sequelanonymous]

すみませんでした。コンテナ内のプロセスを非ルートで実行したいです。

Answer 1

DockerfileにUSERで書けばいいと思います。

USER 1000:1000
# USER 1000   # uidだけ
# USER nobody:nogroup  # /etc/password, /etc/groups のエントリでも

ドキュメント: https://docs.docker.jp/engine/reference/builder.html#user

USERを書くと、以降のRUNもそのユーザで実行されるので、最後のほうに書いたほうがいいです。

Comments

[sequelanonymous]

ありがとうございます！
ちなみにですが、uidにつかわれるidの決め方にベストプラクティスがあったりしますでしょうか ？もしくは、どんな数値でもいいものでしょうか。

[bsdfan]

特定のユーザーやuidで動かすことを想定したアプリでなければ、自由に選んだらいいのでは。
ローカルのファイルシステムや、他のコンテナとボリュームを共有するような場合はuidをそろえる必要がありますが、コンテナを起動するときのオプションででも自由に変えられますし。

[bsdfan]

コンテナの使い方次第でしょうが、uidを数値で指定するよりは、useradd/useradd等でちゃんとユーザやホームディレクトリを作成してユーザ名で指定するほうがベターな気がします。