在docker中添加user并在该用户下运行应用程序是非常好的安全实践。要做到这一点，我建议采取以下步骤:

FROM node:10-alpine

# Copy source to container
RUN mkdir -p /usr/app/src

# Copy source code
COPY src /usr/app/src
COPY package.json /usr/app
COPY package-lock.json /usr/app

WORKDIR /usr/app

# Running npm install for production purpose will not run dev dependencies.
RUN npm install -only=production    

# Create a user group 'xyzgroup'
RUN addgroup -S xyzgroup

# Create a user 'appuser' under 'xyzgroup'
RUN adduser -S -D -h /usr/app/src appuser xyzgroup

# Chown all the files to the app user.
RUN chown -R appuser:xyzgroup /usr/app

# Switch to 'appuser'
USER appuser

# Open the mapped port
EXPOSE 3000

# Start the process
CMD ["npm", "start"]

以上步骤是复制NodeJS项目文件、创建用户组和用户、为项目文件夹分配用户权限、切换到新创建的用户并在该用户下运行应用程序的完整示例。

每个人都有自己最喜欢的，这是我的:

RUN useradd --user-group --system --create-home --no-log-init app
USER app

参考:man useradd (alt)

上面的RUN行将添加用户和组应用程序:

root@ef3e54b60048:/# id app
uid=999(app) gid=999(app) groups=999(app)

如果映像要重用为基本映像，请使用比app更具体的名称。顺便说一句，如果确实需要，可以包含——shell /bin/bash。

部分功劳:Ryan M

或者你也可以这样做。

RUN addgroup demo && adduser -DH -G demo demo

第一个命令创建名为demo的组。第二个命令创建演示用户并将其添加到前面创建的演示组。

Flags代表:

-G Group
-D Don't assign password
-H Don't create home directory

将这一行添加到Dockerfile中(您可以通过这种方式运行任何linux命令)

RUN useradd -ms /bin/bash yourNewUserName

Ubuntu

试试Dockerfile中的以下代码行:

RUN useradd -rm -d /home/ubuntu -s /bin/bash -g root -G sudo -u 1001 ubuntu
USER ubuntu
WORKDIR /home/ubuntu

用户添加选项(参见:man Useradd):

-r, --system Create a system account. see: Implications creating system accounts -m, --create-home Create the user's home directory. -d, --home-dir HOME_DIR Home directory of the new account. -s, --shell SHELL Login shell of the new account. -g, --gid GROUP Name or ID of the primary group. -G, --groups GROUPS List of supplementary groups. -u, --uid UID Specify user ID. see: Understanding how uid and gid work in Docker containers -p, --password PASSWORD Encrypted password of the new account (e.g. ubuntu).

设置默认用户密码

在useradd命令中添加-p "$(openssl passwd -1 ubuntu)"，设置用户密码。

或者在Dockerfile中添加以下代码行:

SHELL ["/bin/bash", "-o", "pipefail", "-c"]
RUN echo 'ubuntu:ubuntu' | chpasswd

第一条shell指令是确保在运行管道之前启用-o pipefail选项。Hadolint:检测您的Dockerfile。

请在dockerfile中添加以下条目，以便在容器中创建sudo用户。

RUN useradd -m  -s /bin/bash ubuntu
RUN usermod -aG sudo ubuntu && echo "ubuntu ALL=(ALL) NOPASSWD: ALL" > /etc/sudoers.d/ubuntu
RUN chmod 0440 /etc/sudoers.d/ubuntu // should be 0440
USER ubuntu:ubuntu
WORKDIR /home/ubuntu