如何在 docker 容器中生成与主机用户具有相同所有者的文件

我使用 docker 容器在 git 存储库中完成一些开发任务。

我使用的容器是专门为每个项目构建的，这样每个贡献者只需要 docker CLI 即可完成工作。

不好的一面是容器以 root 身份运行，因此一旦容器停止，生成的文件就归 root 所有，这很糟糕。

我无法在退出之前更改容器中的所有者，因为容器 /etc/passwd 文件中没有所需的用户。

我会在编译 docker 映像之前在容器中创建一个用户，但容器将不是通用的（对于我所有的开发团队来说）。

对此的最佳实践是什么？

您可以将用户添加到映像中，以 root 身份启动容器，并使用入口点调整容器内的 uid/gid 以匹配开发人员安装的卷。然后切换到您的容器用户来运行您的应用程序。

为了实现这一点，我使用了一个入口点 shell 脚本，其中包含以下几行：

  OLD_UID=`getent passwd "${opt_u}" | cut -f3 -d:`
  NEW_UID=`ls -nd "$1" | cut -f3 -d' '`
  if [ "$OLD_UID" != "$NEW_UID" ]; then
    usermod -u "$NEW_UID" "$opt_u"
    if [ -n "$opt_r" ]; then
      find / -mount -uid "$OLD_UID" -exec chown "$opt_u" {} \;
    fi
  fi
  OLD_GID=`getent group "${opt_g}" | cut -f3 -d:`
  NEW_GID=`ls -nd "$1" | cut -f4 -d' '`
  if [ "$OLD_GID" != "$NEW_GID" ]; then
    groupmod -g "$NEW_GID" "$opt_g"
    if [ -n "$opt_r" ]; then
      find / -mount -gid "$OLD_GID" -exec chgrp "$opt_g" {} \;
    fi
  fi

在那个剧本中，$1是卷安装路径，opt_u是容器内的用户名，opt_g是组名称，并且opt_r是一个用于递归调整容器内文件系统的标志。

在入口点的最后，我开始：

exec gosu "${RUN_AS}" "$@"

哪个切换到用户$RUN_ASexec 是作为该用户和 pid 1 传递到入口点的命令。Gosu 用于避免su作为 pid 1 运行。

我之前发布过一个类似的示例，使用 Jenkins 作为容器内的应用程序来匹配 docker 套接字的 GID。您可以在此处找到包含所有步骤的存储库：https://github.com/bmitch3020/jenkins-docker https://github.com/bmitch3020/jenkins-docker

这具有使映像可移植到任何开发人员系统的显着优点，并且他们可以使用相同的命令运行它。无论文件系统上的权限是什么，它们从外部映射到容器中都会成为在容器内运行命令的用户的 uid/gid。无需在开发者系统上查找本地 uid/giddocker run命令，或者使用唯一的 uid/gid 条目在每个开发人员工作站上构建您的映像。这种实现的唯一缺点是docker exec将以 root 身份进入容器，因为您需要以 root 身份运行入口点才能访问修改用户/组和文件系统所有权。