डॉकर में उपयोगकर्ता

एंड्री कोपिलोव, हमारा सीटीओ, डॉकर को प्यार करता है, सक्रिय रूप से उसका उपयोग करता है और उसे बढ़ावा देता है। एक नए लेख में, उन्होंने बताया कि डॉकर में उपयोगकर्ता कैसे बनाएं। उनके साथ सही काम करें, उपयोगकर्ताओं को रूट अधिकारों के साथ क्यों नहीं छोड़ा जाना चाहिए और डॉकरफ़ाइल में बेमेल संकेतकों की समस्या को कैसे हल किया जाए।

कंटेनर में सभी प्रक्रियाएं रूट उपयोगकर्ता के रूप में चलेंगी, जब तक कि आप इसे एक विशेष तरीके से निर्दिष्ट नहीं करते। यह बहुत सुविधाजनक लगता है, क्योंकि इस उपयोगकर्ता पर कोई प्रतिबंध नहीं है। इस कारण रूट के रूप में कार्य करना सुरक्षा की दृष्टि से गलत है। यदि कोई भी सही दिमाग से रूट अधिकारों के साथ स्थानीय कंप्यूटर पर काम नहीं करता है, तो कई कंटेनरों में रूट के तहत प्रक्रियाएं चलाते हैं।

हमेशा ऐसे बग होते हैं जो मैलवेयर को कंटेनर से बाहर निकलने और होस्ट कंप्यूटर पर आने की अनुमति देते हैं। सबसे खराब स्थिति को मानते हुए, हमें यह सुनिश्चित करना चाहिए कि कंटेनर के अंदर की प्रक्रियाएं ऐसे उपयोगकर्ता द्वारा चलाई जाएं जिनके पास होस्ट मशीन पर कोई अधिकार नहीं है।

एक उपयोगकर्ता बनाना

एक कंटेनर में उपयोगकर्ता बनाना लिनक्स वितरण में इसे बनाने से अलग नहीं है। हालाँकि, अलग-अलग आधार छवियों के लिए आदेश भिन्न हो सकते हैं।

डेबियन-आधारित वितरण के लिए, आपको डॉकरफ़ाइल में निम्नलिखित जोड़ने की आवश्यकता है:

RUN groupadd --gid 2000 node 
  && useradd --uid 2000 --gid node --shell /bin/bash --create-home node

अल्पाइन के लिए:

RUN addgroup -g 2000 node 
    && adduser -u 2000 -G node -s /bin/sh -D node

उपयोगकर्ता से चल रही प्रक्रियाएँ

UID 2000 वाले उपयोगकर्ता के रूप में बाद की सभी प्रक्रियाओं को चलाने के लिए, चलाएँ:

USER 2000

बाद की सभी प्रक्रियाओं को नोड उपयोगकर्ता के रूप में चलाने के लिए, चलाएँ:

USER node

में और अधिक प्रलेखन.

बढ़ते वॉल्यूम

किसी कंटेनर के अंदर वॉल्यूम बढ़ाते समय, उपयोगकर्ता को फ़ाइलों को पढ़ने और/या लिखने की क्षमता प्रदान करें। ऐसा करने के लिए, कंटेनर में उपयोगकर्ता और कंटेनर के बाहर के उपयोगकर्ता की यूआईडी (जीआईडी) जिनके पास फ़ाइल तक पहुंचने की उचित अनुमति है, का मिलान होना चाहिए। इस मामले में, उपयोगकर्ता नाम कोई मायने नहीं रखते.

अक्सर लिनक्स कंप्यूटर पर, उपयोगकर्ता की यूआईडी और जीआईडी ​​1000 के बराबर होती है। ये पहचानकर्ता कंप्यूटर के पहले उपयोगकर्ता को सौंपे जाते हैं।

अपने पहचानकर्ताओं का पता लगाना आसान है:

id

आपको अपने उपयोगकर्ता के बारे में व्यापक जानकारी प्राप्त होगी।
उदाहरणों में से 2000 को अपने पहचानकर्ता से बदलें और सब कुछ ठीक हो जाएगा।

किसी उपयोगकर्ता को UID और GID निर्दिष्ट करना

यदि उपयोगकर्ता पहले बनाया गया था, लेकिन आपको पहचानकर्ता बदलने की आवश्यकता है, तो आप इसे इस तरह कर सकते हैं:

RUN usermod -u 1000 node 
  && groupmod -g 1000 node

यदि आप अल्पाइन बेस छवि का उपयोग कर रहे हैं, तो आपको छाया पैकेज स्थापित करने की आवश्यकता है:

RUN apk add —no-cache shadow

छवि बनाते समय कंटेनर के अंदर उपयोगकर्ता आईडी पास करना

यदि आपकी आईडी और प्रोजेक्ट पर काम करने वाले सभी लोगों की आईडी मेल खाती है, तो बस इस आईडी को डॉकरफाइल में निर्दिष्ट करें। हालाँकि, अक्सर उपयोगकर्ता आईडी मेल नहीं खाते।

आप जो चाहते हैं उसे कैसे प्राप्त करें यह तुरंत स्पष्ट नहीं है। मेरे लिए, डॉकर में महारत हासिल करने की प्रक्रिया में यह सबसे कठिन काम था। कई डॉकर उपयोगकर्ताओं को यह एहसास नहीं है कि एक छवि के जीवन में विभिन्न चरण होते हैं। सबसे पहले, छवि को Dockerfile का उपयोग करके इकट्ठा किया जाता है। किसी छवि से कंटेनर चलाते समय, Dockerfile का उपयोग नहीं किया जाता है।

छवि निर्मित होने पर उपयोगकर्ता निर्माण अवश्य होना चाहिए। यही बात उस उपयोगकर्ता को निर्धारित करने पर भी लागू होती है जिसके अंतर्गत प्रक्रियाएं लॉन्च की जाती हैं। इसका मतलब है कि हमें किसी तरह कंटेनर के अंदर यूआईडी (जीआईडी) पास करना होगा।

डॉकरफ़ाइल में बाहरी चर का उपयोग करने के लिए निर्देशों का उपयोग किया जाता है लि и ARG. निर्देशों की विस्तृत तुलना यहां.

Dockerfile

ARG UID=1000
ARG GID=1000
ENV UID=${UID}
ENV GID=${GID}
RUN usermod -u $UID node 
  && groupmod -g $GID node

आप इस तरह डॉकर-कंपोज़ के माध्यम से तर्क पारित कर सकते हैं:

डोकर-लिखें

build:
  context: ./src/backend
  args:
    UID: 1000
    GID: 1000

PS डॉकर की सभी पेचीदगियों में महारत हासिल करने के लिए दस्तावेज़ या लेख पढ़ना पर्याप्त नहीं है। आपको बहुत अभ्यास करने की ज़रूरत है, आपको डॉकर को समझने की ज़रूरत है।

स्रोत: www.habr.com