{"id":31915,"date":"2019-10-31T21:43:56","date_gmt":"2019-10-31T18:43:56","guid":{"rendered":"https:\/\/prohoster.info\/blog\/polzovatel-v-docker\/"},"modified":"2019-10-31T21:43:56","modified_gmt":"2019-10-31T18:43:56","slug":"polzovatel-v-docker","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/polzovatel-v-docker","title":{"rendered":"Benutzer in Docker","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Andrej Kopylov<\/a><\/noindex>, unser technischer Direktor, liebt es, Docker aktiv zu nutzen und zu propagieren. In seinem neuen Artikel erkl\u00e4rt er, wie man Benutzer in Docker erstellt. Er behandelt die korrekte Handhabung dieser Benutzer, warum es nicht ratsam ist, ihnen root-Rechte zu geben, und wie man das Problem der nicht \u00fcbereinstimmenden Indikatoren in Dockerfile l\u00f6st.<\/p>\n

<\/a><\/noindex><\/p>\n

Alle Prozesse innerhalb des Containers werden standardm\u00e4\u00dfig unter dem Benutzer root ausgef\u00fchrt, es sei denn, es wird speziell anders angegeben. Das scheint sehr praktisch zu sein, da dieser Benutzer keine Einschr\u00e4nkungen hat. Daher ist es aus sicherheitstechnischer Sicht problematisch, unter root zu arbeiten. W\u00e4hrend auf einem lokalen Computer keiner im Vollbesitz seiner geistigen Kr\u00e4fte mit root-Rechten arbeitet, starten viele Prozesse in Containern dennoch unter root.<\/p>\n

<\/p>\n

Es gibt immer Bugs, die es einem Angreifer erm\u00f6glichen k\u00f6nnen, aus dem Container auszubrechen und auf den Host-Computer zu gelangen. Im schlimmsten Fall m\u00fcssen wir sicherstellen, dass Prozesse innerhalb des Containers von einem Benutzer ausgef\u00fchrt werden, der keine Berechtigungen auf der Host-Maschine hat.<\/p>\n

<\/p>\n

Benutzer erstellen<\/h2>\n

<\/p>\n

Die Erstellung eines Benutzers in einem Container unterscheidet sich nicht von der Erstellung in Linux-Distributionen. Allerdings k\u00f6nnen die Befehle je nach zugrunde liegendem Image variieren.<\/p>\n

<\/p>\n

F\u00fcr Debian-basierte Distributionen muss im Dockerfile Folgendes hinzugef\u00fcgt werden:<\/p>\n

RUN groupadd --gid 2000 node \n  && useradd --uid 2000 --gid node --shell \/bin\/bash --create-home node<\/code><\/pre>\n
<\/p>\n
F\u00fcr Alpine:<\/p>\n
<\/p>\n
RUN addgroup -g 2000 node \n    && adduser -u 2000 -G node -s \/bin\/sh -D node\n<\/code><\/pre>\n
<\/p>\n
Ausf\u00fchren von Prozessen als Benutzer<\/h2>\n
<\/p>\n
Um alle folgenden Prozesse als Benutzer mit UID 2000 auszuf\u00fchren, f\u00fchren Sie Folgendes aus:<\/p>\n
<\/p>\n
USER 2000<\/code><\/pre>\n
<\/p>\n
Um alle folgenden Prozesse als Benutzer node auszuf\u00fchren, f\u00fchren Sie Folgendes aus:<\/p>\n
<\/p>\n
USER node<\/code><\/pre>\n
<\/p>\n
Weitere Informationen finden Sie in Dokumentation.<\/a><\/noindex>.<\/p>\n
<\/p>\n
Mounten von Volumes<\/h2>\n
<\/p>\n
Beim Mounten von Volumes in den Container stellen Sie sicher, dass der Benutzer die M\u00f6glichkeit hat, Dateien zu lesen und (oder) zu schreiben. Daher m\u00fcssen die UID (GID) des Benutzers im Container und des Benutzers au\u00dferhalb des Containers, der die entsprechenden Zugriffsrechte f\u00fcr die Datei hat, \u00fcbereinstimmen. Benutzernamen sind dabei irrelevant.<\/p>\n
<\/p>\n
Oft hat der Benutzer auf einem Linux-Computer die UID und GID von 1000. Diese Identifikatoren werden dem ersten Benutzer des Computers zugewiesen.<\/p>\n
<\/p>\n
Es ist einfach, Ihre Identifikatoren zu erfahren:<\/p>\n
<\/p>\n
id<\/code><\/pre>\n
<\/p>\n
Sie erhalten umfassende Informationen zu Ihrem Benutzer.
\nErsetzen Sie 2000 in den Beispielen durch Ihre eigene ID, und alles sollte in Ordnung sein.<\/p>\n
<\/p>\n
Zuweisung von UID und GID an den Benutzer<\/h2>\n
<\/p>\n
Wenn der Benutzer bereits erstellt wurde, aber die Identifikatoren ge\u00e4ndert werden m\u00fcssen, kann dies so geschehen:<\/p>\n
<\/p>\n
RUN usermod -u 1000 node \n  && groupmod -g 1000 node\n<\/code><\/pre>\n
<\/p>\n
Wenn Sie ein Basis-Image von Alpine verwenden, m\u00fcssen Sie das Paket shadow installieren:<\/p>\n
<\/p>\n
RUN apk add --no-cache shadow<\/code><\/pre>\n
<\/p>\n
\u00dcbertragung der Benutzer-ID in den Container beim Erstellen des Images<\/h2>\n
<\/p>\n
Wenn Ihre ID und die IDs aller Personen, die am Projekt arbeiten, \u00fcbereinstimmen, gen\u00fcgt es, diese ID im Dockerfile anzugeben. Oft stimmen die Benutzer-IDs jedoch nicht \u00fcberein.<\/p>\n
<\/p>\n
Wie man das Gew\u00fcnschte erreicht, ist nicht sofort klar. F\u00fcr mich war das der schwierigste Teil beim Lernen von Docker. Viele Docker-Nutzer denken nicht daran, dass es verschiedene Lebensphasen des Images gibt. Zuerst wird das Image erstellt, daf\u00fcr wird das Dockerfile verwendet. Beim Starten des Containers aus dem Image wird das Dockerfile jedoch nicht mehr verwendet.<\/p>\n
<\/p>\n
Die Benutzererstellung sollte beim Erstellen des Images erfolgen. Das gilt auch f\u00fcr die Definition des Benutzers, unter dem die Prozesse gestartet werden. Das bedeutet, dass wir irgendwie die UID (GID) in den Container \u00fcbergeben m\u00fcssen.<\/p>\n
<\/p>\n
F\u00fcr die Verwendung von externen Variablen im Dockerfile gibt es folgende Direktiven: ENV<\/a><\/noindex> und\u00a0ARG<\/a><\/noindex>. Eine detaillierte Vergleich der Direktiven: hier<\/a><\/noindex>.<\/p>\n
<\/p>\n
Dockerfile<\/p>\n
<\/p>\n
ARG UID=1000\nARG GID=1000\nENV UID=${UID}\nENV GID=${GID}\nRUN usermod -u $UID node \n  && groupmod -g $GID node\n<\/code><\/pre>\n
<\/p>\n
So k\u00f6nnen Argumente \u00fcber docker-compose weitergegeben werden:<\/p>\n
<\/p>\n
version: '1'\n    services:\n        simplesample-sonar:\n            image: sonarqube:lts\n            ports:\n                - 9001:9000\n                - 9092:9092\n            network_mode: bridge<\/p>\n
<\/p>\n
build:\n  context: .\/src\/backend\n  args:\n    UID: 1000\n    GID: 1000\n<\/code><\/pre>\n
<\/p>\n
P.S. Um alle Feinheiten von Docker zu meistern, reicht es nicht aus, die Dokumentation oder Artikel zu lesen. Man muss viel praktizieren und das Docker-Gef\u00fchl erleben.<\/p>\n
Quelle: habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
\u0410\u043d\u0434\u0440\u0435\u0439 \u041a\u043e\u043f\u044b\u043b\u043e\u0432, \u043d\u0430\u0448 \u0442\u0435\u0445\u043d\u0438\u0447\u0435\u0441\u043a\u0438\u0439 \u0434\u0438\u0440\u0435\u043a\u0442\u043e\u0440, \u043b\u044e\u0431\u0438\u0442, \u0430\u043a\u0442\u0438\u0432\u043d\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442 \u0438\u00a0\u043f\u0440\u043e\u043f\u0430\u0433\u0430\u043d\u0434\u0438\u0440\u0443\u0435\u0442 Docker. \u0412 \u043d\u043e\u0432\u043e\u0439 \u0441\u0442\u0430\u0442\u044c\u0435 \u043e\u043d \u0440\u0430\u0441\u0441\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442, \u043a\u0430\u043a \u0441\u043e\u0437\u0434\u0430\u0442\u044c \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 \u0432\u00a0Docker. \u041f\u0440\u0430\u0432\u0438\u043b\u044c\u043d\u0430\u044f \u0440\u0430\u0431\u043e\u0442\u0430 \u0441 \u043d\u0438\u043c\u0438, \u043f\u043e\u0447\u0435\u043c\u0443 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439\u00a0\u043d\u0435\u043b\u044c\u0437\u044f \u043e\u0441\u0442\u0430\u0432\u043b\u044f\u0442\u044c \u0441\u00a0root \u043f\u0440\u0430\u0432\u0430\u043c\u0438 \u0438, \u043a\u0430\u043a \u0440\u0435\u0448\u0438\u0442\u044c \u0437\u0430\u0434\u0430\u0447\u0443 \u043d\u0435\u0441\u043e\u0432\u043f\u0430\u0434\u0435\u043d\u0438\u044f \u0438\u043d\u0434\u0438\u043a\u0430\u0442\u043e\u0440\u043e\u0432 \u0432\u00a0Dockerfile. \u0412\u0441\u0435 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u044b \u0432\u00a0\u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u0435 \u0431\u0443\u0434\u0443\u0442 \u0440\u0430\u0431\u043e\u0442\u0430\u0442\u044c \u0438\u0437-\u043f\u043e\u0434 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f root, \u0435\u0441\u043b\u0438 \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u044c\u043d\u044b\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c \u0435\u0433\u043e \u043d\u0435\u00a0\u0443\u043a\u0430\u0437\u0430\u0442\u044c. \u042d\u0442\u043e \u043a\u0430\u0436\u0435\u0442\u0441\u044f \u043e\u0447\u0435\u043d\u044c \u0443\u0434\u043e\u0431\u043d\u043e, \u0432\u0435\u0434\u044c \u0443\u00a0\u044d\u0442\u043e\u0433\u043e \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-31915","post","type-post","status-publish","format-standard","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47 Benutzer in Docker | ProHoster","description":"Andrey Kopylov, unser technischer Direktor, liebt Docker, nutzt es aktiv und propagiert dessen Einsatz. In seinem neuen Artikel erl\u00e4utert er, wie man Benutzer in Docker erstellt. Er spricht dar\u00fcber, wie wichtig die korrekte Verwaltung dieser Benutzer ist, warum sie nicht mit Root-Rechten arbeiten sollten und wie das Problem der unterschiedlichen Indikatoren im Dockerfile gel\u00f6st werden kann. Alle Prozesse im Container laufen unter dem Root-Benutzer, es sei denn, es wird ausdr\u00fccklich ein anderer Benutzer angegeben. Das scheint sehr praktisch zu sein, schlie\u00dflich hat dieser Benutzer...","canonical_url":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/polzovatel-v-docker","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044c \u0432 Docker | ProHoster","og:description":"\u0410\u043d\u0434\u0440\u0435\u0439 \u041a\u043e\u043f\u044b\u043b\u043e\u0432, \u043d\u0430\u0448 \u0442\u0435\u0445\u043d\u0438\u0447\u0435\u0441\u043a\u0438\u0439 \u0434\u0438\u0440\u0435\u043a\u0442\u043e\u0440, \u043b\u044e\u0431\u0438\u0442, \u0430\u043a\u0442\u0438\u0432\u043d\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442 \u0438 \u043f\u0440\u043e\u043f\u0430\u0433\u0430\u043d\u0434\u0438\u0440\u0443\u0435\u0442 Docker. \u0412 \u043d\u043e\u0432\u043e\u0439 \u0441\u0442\u0430\u0442\u044c\u0435 \u043e\u043d \u0440\u0430\u0441\u0441\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442, \u043a\u0430\u043a \u0441\u043e\u0437\u0434\u0430\u0442\u044c \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 \u0432 Docker. \u041f\u0440\u0430\u0432\u0438\u043b\u044c\u043d\u0430\u044f \u0440\u0430\u0431\u043e\u0442\u0430 \u0441 \u043d\u0438\u043c\u0438, \u043f\u043e\u0447\u0435\u043c\u0443 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 \u043d\u0435\u043b\u044c\u0437\u044f \u043e\u0441\u0442\u0430\u0432\u043b\u044f\u0442\u044c \u0441 root \u043f\u0440\u0430\u0432\u0430\u043c\u0438 \u0438, \u043a\u0430\u043a \u0440\u0435\u0448\u0438\u0442\u044c \u0437\u0430\u0434\u0430\u0447\u0443 \u043d\u0435\u0441\u043e\u0432\u043f\u0430\u0434\u0435\u043d\u0438\u044f \u0438\u043d\u0434\u0438\u043a\u0430\u0442\u043e\u0440\u043e\u0432 \u0432 Dockerfile. \u0412\u0441\u0435 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u044b \u0432 \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u0435 \u0431\u0443\u0434\u0443\u0442 \u0440\u0430\u0431\u043e\u0442\u0430\u0442\u044c \u0438\u0437-\u043f\u043e\u0434 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f root, \u0435\u0441\u043b\u0438 \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u044c\u043d\u044b\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c \u0435\u0433\u043e \u043d\u0435 \u0443\u043a\u0430\u0437\u0430\u0442\u044c. \u042d\u0442\u043e \u043a\u0430\u0436\u0435\u0442\u0441\u044f \u043e\u0447\u0435\u043d\u044c \u0443\u0434\u043e\u0431\u043d\u043e, \u0432\u0435\u0434\u044c \u0443 \u044d\u0442\u043e\u0433\u043e \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f","og:url":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/polzovatel-v-docker","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T18:43:56+00:00","article:modified_time":"2019-10-31T18:43:56+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"31915","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-21 08:25:21","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 03:08:10","updated":"2026-01-21 08:25:21"},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/31915","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=31915"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/31915\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=31915"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=31915"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=31915"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}