管理Docker共享卷权限的(最佳)方法是什么?

我使用Docker已经有一段时间了，在处理持久数据时不断发现同样的问题。

我创建Dockerfile并公开一个卷或使用——volumes-from在容器中挂载一个主机文件夹。

主机上的共享卷需要申请哪些权限?

我可以想到两个选择:

So far I've given everyone read/write access, so I can write to the folder from the Docker container. Map the users from host into the container, so I can assign more granular permissions. Not sure this is possible though and haven't found much about it. So far, all I can do is run the container as some user: docker run -i -t -user="myuser" postgres, but this user has a different UID than my host myuser, so permissions do not work. Also, I'm unsure if mapping the users will pose some security risks.

还有其他选择吗?

你们是如何处理这个问题的?

当前回答

如果你这样做是为了开发，一个很好的解决方案是使用bindfs:

保持容器用户拥有源代码。(如果可能的话，让容器克隆源代码。) 使用bindfs并为主机用户映射文件夹。

下面是我的docker-compose设置现在的样子:

project:
  web/src # Container clones it using init scripts.
  web/log
  __web__/src # Host user uses this. It's just bindfs mirror.
  __web__/log

我已经考虑这个问题一年多了，bindfs是我遇到过的最简单的选择。除了克隆，没有运行成本。

2021-10-15 17:28:32

其他回答

如果你这样做是为了开发，一个很好的解决方案是使用bindfs:

保持容器用户拥有源代码。(如果可能的话，让容器克隆源代码。) 使用bindfs并为主机用户映射文件夹。

下面是我的docker-compose设置现在的样子:

project:
  web/src # Container clones it using init scripts.
  web/log
  __web__/src # Host user uses this. It's just bindfs mirror.
  __web__/log

我已经考虑这个问题一年多了，bindfs是我遇到过的最简单的选择。除了克隆，没有运行成本。

2021-10-15 17:28:32

好的，这现在被跟踪在docker问题#7198

现在，我用你的第二个选择来处理这个问题:

将用户从主机映射到容器

Dockerfile

#=======
# Users
#=======
# TODO: Idk how to fix hardcoding uid & gid, specifics to docker host machine
RUN (adduser --system --uid=1000 --gid=1000 \
        --home /home/myguestuser --shell /bin/bash myguestuser)

CLI

# DIR_HOST and DIR_GUEST belongs to uid:gid 1000:1000
docker run -d -v ${DIR_HOST}:${DIR_GUEST} elgalu/myservice:latest

我目前更倾向于哈米的回答

2014-07-27 22:12:55

为了保护和更改docker容器和docker主机的根，请尝试使用——uidmap和——private-uids选项

https://github.com/docker/docker/pull/4572#issuecomment-38400893

此外，您还可以删除docker容器中的几个功能(——cap-drop)以确保安全性

http://opensource.com/business/14/9/security-for-docker

更新支持应该出现在docker > 1.7.0中

更新版本1.10.0 (2016-02-04)add——users -remap标志 https://github.com/docker/docker/blob/master/CHANGELOG.md#security-2

2014-11-28 08:14:32

和你一样，我正在寻找一种将用户/组从主机映射到docker容器的方法，这是迄今为止我发现的最短的方法:

  version: "3"
  services:
    my-service:
      .....
      volumes:
        # take uid/gid lists from host
        - /etc/passwd:/etc/passwd:ro
        - /etc/group:/etc/group:ro
        # mount config folder
        - path-to-my-configs/my-service:/etc/my-service:ro
        .....

这是从docker-compose.yml中提取的。

其思想是(以只读模式)将用户/组列表从主机挂载到容器，这样容器启动后，它将具有与主机相同的uid->用户名(以及组)匹配。现在，您可以在容器中为服务配置用户/组设置，就像它在您的主机系统上工作一样。

当您决定将容器移动到另一个主机时，您只需要将服务配置文件中的用户名更改为该主机上的用户名。

2017-08-11 17:11:05

要在docker主机和docker容器之间共享文件夹，请尝试以下命令

$(pwd):$(pwd)-i -t ubuntu

-v标志将当前工作目录挂载到容器中。当绑定挂载卷的主机目录不存在时，Docker会自动在主机上为你创建这个目录，

然而，这里有两个问题:

如果您不是root用户，则无法对挂载的卷进行写操作，因为共享文件将由主机中的其他用户拥有。你不应该以root用户在容器中运行进程，但即使你以硬编码用户运行，它仍然不会与你笔记本电脑上的用户匹配。

解决方案:

容器: 创建一个用户testuser，默认用户id从1000开始，

主持人: 创建一个名为“testgroup”的组，组id为1000，并将目录更改为新组(testgroup . testgroup . testgroup)

2017-04-26 12:20:36

管理Docker共享卷权限的(最佳)方法是什么?

推荐文章

最新文章

标签