Início / computer / Perguntas / 1840613
Accepted
chronos
Asked: 2024-04-27 23:52:35 +0800 CST

Como o namespace de usuário do Docker realmente funciona?

  • 772

Habilitei namespaces de usuário no Docker, em uma tentativa (pensei) de transformar qualquer usuário usado por qualquer um dos contêineres em um específico.

Este usuário foi criado pelo docker e as entradas em subuid e subgid foram criadas:

dockremap:362144:65536

Embora dockremaptenha o id 116,

Eu esperaria agora poder vincular qualquer arquivo do host ao contêiner e que, desde que o arquivo pertença dockremapao host ou que as permissões estejam abertas o suficiente, o contêiner seja capaz de lê-lo. O mesmo com os diretórios.

Em vez disso, tive que tornar o proprietário dos arquivos/pastas por algum usuário a partir de 362144então (o que não se traduz em nada no host, então ls, ps, etc. apenas mostra o ID numérico).

Espera-se que isso funcione assim? Porque estou fazendo errado ou, do ponto de vista administrativo, é um pesadelo.

docker

1 respostas

  1. Best Answer

    Sim, espera-se que funcione assim. O subuidarquivo não implica que algo será mapeado para sua conta - muito pelo contrário, ele reserva uma variedade de UIDs 'reais' gratuitos para uso por seus contêineres especificamente para que eles não se sobreponham a contas reais do sistema nem a contêineres executados por outros. Usuários.

    O mapeamento de ID do namespace do usuário Linux é sempre 1:1; um intervalo só pode ser mapeado para outro intervalo do mesmo tamanho. Isso ocorre porque o mapeamento UID deve funcionar em ambas as direções – não apenas ao atribuir um UID real para arquivos recém-criados, mas também ao determinar qual proprietário exibir dentro do contêiner para arquivos existentes.

    Por exemplo, dado o mapeamento 1:1 que você possui, um arquivo pertencente ao UID 1000 do contêiner será armazenado como tendo 363144 como seu proprietário real, de modo que quando o contêiner for reiniciado e as informações recuperadas, o 363144 do host possa ser traduzido de volta ao contêiner 1000.

    Se o mapeamento não fosse 1:1 (por exemplo, se todos os UIDs do contêiner fossem mapeados para o mesmo UID do host), as informações de qual usuário do contêiner possui qual arquivo do contêiner seriam perdidas. (O proprietário do contêiner poderia, em teoria, ser armazenado em xattrs, mas o Linux não faz isso nativamente. Ouvi dizer que o Docker faz isso no macOS usando sua própria camada FUSE, e suspeito que ele possa usar fuse-overlayfs para isso em Linux, mas nunca trabalhei com Docker até esse ponto, então não tenho certeza.)

    Com kernels Linux recentes, também é possível aplicar mapeamentos UID a montagens, não apenas a namespaces de usuários, portanto, em teoria, o mecanismo do contêiner poderia ser instruído a montar um diretório no contêiner enquanto mapeia o UID 1000 do contêiner para o UID do host 1000, ou algo parecido. Já vi essa opção no systemd-nspawn, mas, novamente, não sei onde encontrá-la no Docker – embora a documentação sugira que ela usaria shiftfsou fuse-overlayfspara essa finalidade, em vez do mapeamento de id nativo do Linux.

    • 1

relate perguntas