【Docker】容器安全之非root用户运行

news2025/6/9 6:07:54

【Docker】容器安全之非root用户运行

1. 场景
2. 原 Dockerfile 内容
3. 整改结果
4. 非 root 用户带来的潜在问题
- 4.1 文件夹读写权限异常
- 4.2 验证文件夹权限

1. 场景

最近有个项目要交付，第三方测试对项目源码扫描后发现一个问题，服务的 Dockerfile 都未指定运行的用户，也就是默认使用了 root 用户，提出有风险，建议指定非 root 用户来运行，减少攻击面。

2. 原 Dockerfile 内容

FROM alpine-openjdk:3.16-8_20220927_v1
RUN mkdir -p /deploy
ADD target/operation-service-latest.tar.gz /deploy/
WORKDIR /deploy
CMD ["bash", "-c", "sh /deploy/operation/bin/start.sh"]

3. 整改结果

FROM alpine-openjdk:3.16-8_20220927_v1

# 指定固定UID和GID（需与宿主机目录属主匹配）
RUN addgroup -S -g 1000 appuser && \
    adduser -S -u 1000 -G appuser appuser && \
    mkdir -p /deploy && \
    chown -R appuser:appuser /deploy

# 切换到 appuser 用户
USER appuser

WORKDIR /deploy

ADD target/operation-service-latest.tar.gz /deploy/
CMD ["bash", "-c", "sh /deploy/operation/bin/start.sh"]

Dockerfile 内容分析：

非 Root 用户运行
通过创建 appuser 用户并切换，避免以 root 权限运行容器，提升了安全性，符合最小权限原则。
固定 UID/GID
指定用户和组的 UID/GID 为 1000，确保与宿主机目录权限一致，避免卷挂载时的权限冲突。
精简基础镜像
使用基于 Alpine Linux 的镜像，体积较小，减少资源占用和潜在攻击面。
工作目录管理
明确设置 WORKDIR 为 /deploy，保持路径清晰，便于维护。

4. 非 root 用户带来的潜在问题

4.1 文件夹读写权限异常

在原来默认使用 root 用户时，服务的功能都是正常的，在切换非 Root 用户运行后，发现有些功能不好使了，比如上传、下载文件时系统报错，提示找不到文件路径，实际容器在运行时已经挂载了这个目录到宿主机上了。
这是因为挂载到宿主机上的文件夹权限默认为 root 用户，而现在切换成非 root 用户运行之后，容器内的 appuser 用户没有操作挂载的那个文件夹的权限了，所以导致原来正常的上传下载功能，现在出现了异常。

这时候，就需要一个额外的操作，来对宿主机上挂着的文件夹权限进行修改了；

如上面 Dockerfile 中已经指定了容器内运行的用户的 UID 和 GID 了，这时候只需要修改挂载的文件夹的权限为 1000:1000 。

如挂载到宿主机上的目录为：/home/sys/upload/ 则执行命令：