ডকারে ব্যবহারকারী

আন্দ্রে কোপিলভ, আমাদের সিটিও, ডকারকে ভালোবাসে, সক্রিয়ভাবে ব্যবহার করে এবং প্রচার করে। একটি নতুন নিবন্ধে, তিনি ব্যাখ্যা করেছেন কিভাবে ডকারে ব্যবহারকারী তৈরি করা যায়। তাদের সাথে সঠিক কাজ, কেন ব্যবহারকারীদের রুট অধিকার ছেড়ে দেওয়া উচিত নয় এবং ডকারফাইলে অমিল সূচকগুলির সমস্যা কীভাবে সমাধান করা যায়।

কন্টেইনারের সমস্ত প্রক্রিয়া রুট ব্যবহারকারী হিসাবে চলবে, যদি না আপনি এটি একটি বিশেষ উপায়ে উল্লেখ করেন। এটি খুব সুবিধাজনক বলে মনে হচ্ছে, কারণ এই ব্যবহারকারীর কোন সীমাবদ্ধতা নেই। এই কারণেই রুট হিসাবে কাজ করা নিরাপত্তা দৃষ্টিকোণ থেকে ভুল। যদি তাদের সঠিক মনের মধ্যে কেউই স্থানীয় কম্পিউটারে রুট অধিকার নিয়ে কাজ না করে, তাহলে অনেকেই কন্টেইনারে রুটের অধীনে প্রক্রিয়া চালায়।

সবসময় বাগ থাকে যা ম্যালওয়্যারকে কন্টেইনার থেকে পালাতে এবং হোস্ট কম্পিউটারে যেতে দেয়। সবচেয়ে খারাপ ধরে নিলে, আমাদের অবশ্যই নিশ্চিত করতে হবে যে কন্টেইনারের ভিতরের প্রক্রিয়াগুলি একজন ব্যবহারকারী দ্বারা চালিত হয় যার হোস্ট মেশিনে কোনো অধিকার নেই।

একজন ব্যবহারকারী তৈরি করা হচ্ছে

একটি কন্টেইনারে ব্যবহারকারী তৈরি করা লিনাক্স ডিস্ট্রিবিউশনে তৈরি করা থেকে আলাদা নয়। যাইহোক, বিভিন্ন বেস ইমেজের জন্য কমান্ড পরিবর্তিত হতে পারে।

ডেবিয়ান-ভিত্তিক বিতরণের জন্য, আপনাকে ডকারফাইলে নিম্নলিখিতগুলি যুক্ত করতে হবে:

RUN groupadd --gid 2000 node 
  && useradd --uid 2000 --gid node --shell /bin/bash --create-home node

আলপাইন জন্য:

RUN addgroup -g 2000 node 
    && adduser -u 2000 -G node -s /bin/sh -D node

ব্যবহারকারী থেকে প্রসেস চলমান

UID 2000 সহ ব্যবহারকারী হিসাবে পরবর্তী সমস্ত প্রক্রিয়া চালানোর জন্য, চালান:

USER 2000

নোড ব্যবহারকারী হিসাবে পরবর্তী সমস্ত প্রক্রিয়া চালানোর জন্য, চালান:

USER node

আরও ডকুমেন্টেশন.

মাউন্ট ভলিউম

একটি পাত্রে ভলিউম মাউন্ট করার সময়, ব্যবহারকারীকে ফাইলগুলি পড়তে এবং/বা লেখার ক্ষমতা প্রদান করুন। এটি করার জন্য, কন্টেইনারে থাকা ব্যবহারকারীর UID (GID) এবং কন্টেইনারের বাইরের ব্যবহারকারীর যাদের কাছে ফাইলটি অ্যাক্সেস করার উপযুক্ত অনুমতি রয়েছে তাদের অবশ্যই মিল থাকতে হবে। এই ক্ষেত্রে, ব্যবহারকারীর নাম কোন ব্যাপার না.

প্রায়শই একটি লিনাক্স কম্পিউটারে, একজন ব্যবহারকারীর ইউআইডি এবং জিআইডি 1000 এর সমান। এই শনাক্তকারীগুলি কম্পিউটারের প্রথম ব্যবহারকারীকে বরাদ্দ করা হয়।

আপনার শনাক্তকারী খুঁজে বের করা সহজ:

id

আপনি আপনার ব্যবহারকারী সম্পর্কে ব্যাপক তথ্য পাবেন।
আপনার শনাক্তকারীর সাথে উদাহরণ থেকে 2000 প্রতিস্থাপন করুন এবং সবকিছু ঠিক হয়ে যাবে।

একজন ব্যবহারকারীকে একটি UID এবং GID বরাদ্দ করা

যদি ব্যবহারকারী আগে তৈরি করা হয়, তবে আপনাকে সনাক্তকারী পরিবর্তন করতে হবে, আপনি এটি এভাবে করতে পারেন:

RUN usermod -u 1000 node 
  && groupmod -g 1000 node

আপনি যদি আলপাইন বেস ইমেজ ব্যবহার করেন, তাহলে আপনাকে ছায়া প্যাকেজ ইনস্টল করতে হবে:

RUN apk add —no-cache shadow

ছবি তৈরি করার সময় কন্টেইনারের ভিতরে ইউজার আইডি পাস করা

যদি আপনার আইডি এবং প্রকল্পে কাজ করা সমস্ত লোকের আইডি মিলে যায়, তবে ডকারফাইলে এই আইডিটি উল্লেখ করুন। তবে প্রায়ই ইউজার আইডি মেলে না।

আপনি যা চান তা কীভাবে অর্জন করবেন তা অবিলম্বে পরিষ্কার নয়। আমার জন্য, ডকারকে আয়ত্ত করার প্রক্রিয়ায় এটি ছিল সবচেয়ে কঠিন জিনিস। অনেক ডকার ব্যবহারকারীরা বুঝতে পারেন না যে একটি চিত্রের জীবনে বিভিন্ন স্তর রয়েছে। প্রথমত, ছবিটি একটি ডকারফাইল ব্যবহার করে একত্রিত হয়। একটি ইমেজ থেকে একটি ধারক চালানোর সময়, Dockerfile আর ব্যবহার করা হয় না.

ইমেজ তৈরি করার সময় ব্যবহারকারী তৈরি করা আবশ্যক। একই ব্যবহারকারী নির্ধারণের ক্ষেত্রে প্রযোজ্য যার অধীনে প্রক্রিয়াগুলি চালু করা হয়েছে৷ এর মানে হল যে আমাদের অবশ্যই কন্টেইনারের ভিতরে UID (GID) পাস করতে হবে।

ডকারফাইলে বহিরাগত ভেরিয়েবল ব্যবহার করার জন্য নির্দেশাবলী ব্যবহার করা হয় ENV и ARG. নির্দেশাবলীর বিস্তারিত তুলনা এখানে.

Dockerfile

ARG UID=1000
ARG GID=1000
ENV UID=${UID}
ENV GID=${GID}
RUN usermod -u $UID node 
  && groupmod -g $GID node

আপনি এই মত ডকার-কম্পোজ মাধ্যমে আর্গুমেন্ট পাস করতে পারেন:

Docker-রচনা

build:
  context: ./src/backend
  args:
    UID: 1000
    GID: 1000

PS ডকারের সমস্ত জটিলতা আয়ত্ত করতে, ডকুমেন্টেশন বা নিবন্ধগুলি পড়া যথেষ্ট নয়। আপনাকে অনেক অনুশীলন করতে হবে, আপনাকে ডকারের অনুভূতি পেতে হবে।

উত্স: www.habr.com