百度360必应搜狗淘宝本站头条
linux取消挂载yum卸载下横线怎么打mysql 外网访问权限php打乱数组顺序
当前位置：网站首页 > 编程文章 > 正文

【容器安全篇】使用非root账号启动容器

qiyuwang 2024-11-03 16:31 20 浏览 0 评论

当在运行容器时，默认都是以root的账号进行启动的，但这个root账号和宿主机的root账号的权限是不一样的，会受到 capabilities的限制。那如果是非特权的容器，使用容器的root账号启动是否安全呢？

举例

启动一个centos1的容器

docker run -d --name centos1 -v /etc:/mnt centos:v1 sleep 3600

这时尝试修改 /mnt/shadow文件，这个就是宿主机的/etc/shadow文件

docker exec -it centos1 bash -c "echo hello>>/mnt/shadow"

在主机上，查看 /etc/shadow ，主机的文件被修改了

解决方式

1.普通用户运行

可以指定一个普通用户uid,通过 docker -u参数进行指定

[root@master bin]# docker run -d -u 5566:5566 --name centos1 -v /etc:/mnt centos:v1 sleep 3600

再次进行修改文件

[root@master bin]# docker exec -it centos1 /bin/bash
bash-4.2$ echo hello>>/mnt/shadow
bash: /mnt/shadow: Permission denied

也可以在Dockerfile中使用新建用户,这要就不需要启动容器时增加-u，如

FROM centos:7.6.1810
RUN adduser -u 5566 testuser
RUN yum install -y iptables
USER testuser

但因为用户的uid在整个节点上是共享的，容器里的uid与宿主机的uid可能会有冲突，这时就需要使用User Namespace

2. User NameSpace

首先要启用docker的user namespace，修改 /etc/docker/daemon.json 文件，增加以下配置

{
  "userns-remap": "default"
}

重启后，docker会默认创建一个dockermap的用户

[root@master nonuser]# cat /etc/subuid
dockremap:165536:65536

uid 从165536开始，可以创建65536个，这时重新创建容器，但这时可能docker会有异常：nsenter: failed to unshare namespaces: Invalid argument

创建了user namespace后，docker在新主机上会生成新的目录，这时会看不到原来的image了

因为系统默认的用户命名空间最大数量可能是0，需要调整 /proc/sys/user/max_user_namespaces的值，如果为0，则可以通过以下方式进行调整

sysctl user.max_user_namespaces=15000

容器启动后，查看容器的user,会和宿主机上的用户绑定一个映射关系，在宿主机上看到的用户id就是从userns中分配的

这时重新修改 /mnt/shadow时，是会报错的

总结

  1. 在没有user namespace的前提下，容器里的root和宿主机上的root的uid是一样的，有可能会存在安全问题
  2. 通过 user namespace的处理，可以将容器里的root账号映射到宿主机的普通用户
  3. docker 在官网已经有支持 rootless container的方式 ，也就是以非root用户来启动和管理容器。

往期回顾

权限细分，原来root在容器里也不是万能的

相关推荐

windows开启telnet服务，检测远程服务端口是否可以连通

本文介绍windwos开启telnet服务，telnet服务一般可以用于检测远程主机的某个端口服务是否可以连通，在日常的工作中，我们经常会遇到在本地的windows检测远程服务端口是否可以连通。win...

仅在Web登录新华三交换机条件下启用设备Telnet登录方式

概述Web登录新华三交换机可以在“网络-服务”页面中启用设备Telnet服务或SSH服务，也可以在“设备-管理员”设置管理员用户的可用服务，然而，在设备Web页面中，无法设置lineVTY用户线【l...

思科交换机，路由器如何关闭telnet 开启ssh服务

SSH为建立在应用层基础上的安全协议。SSH是目前较可靠，专为远程登录会话和其他网络服务提供安全性的协议。利用SSH协议可以有效防止远程管理过程中的信息泄露问题。今天我们就来说说思科交换机，路...

智能化弱电行业常用的DOS命令，掌握了你也能成为...

前言在做智能化弱电项目时，前端摄像头设备安装结束后，我们会对网络摄像头进行调试，调试过程中会遇到前端摄像头没有图像或者图像出来了画面卡顿的现象。我们会采用ping命令来测试网络的连通性和网络承载能力。...

「干货」eNSP模拟器之配置Telnet登录

配置说明：配置Telnet，使R2（模拟PC）通过SW1登录到R1进行管理和配置。操作步骤：system-view##进入系统视图[Huawei]sysnameR1##改名为R1[R1]int...

win11开启telnet服务怎么操作 win11打开telent指令是什么

telnet服务是我们在进行远程连接的时候，必须要打开的一项功能。但是有不少用户们不清楚在windows11系统中怎么开启telnet服务。今天小编就使用详细的图文教程，来给大家说明一下打开telen...

华三(H3C)交换机Telnet的远程登陆

一，配置交换机管理IP[SW1]vlan20//创建管理vlan[SW1]interfacevlan20//进入vlan接口[SW1-Vlanif20]ipaddress192.168....

win10 telnet命令怎么查看端口是否打开

可能大家也会遇到这个问题，win10telnet命令查看端口是否打开的步骤是什么？具体方法如下：1、键盘输入快捷键WIN+R，打开运行窗口。2、输入cmd，点击确定按钮。3、弹出cmd命令行窗...

Windows 7如何打开Telnet功能（win7系统打开telnet）

Windows7默认安装后是没有开启telnet客户端功能的，例如，我们在开始菜单中输入cmd，然后使用telnet命令，会弹出下图提示：‘telnet’不是内部或外部命令，也不是可运行程序或批处理文...

为锐捷路由器交换机开启web和telnet，实现轻松管理

笔者上一篇文章写了关于锐捷二层交换机配置教程，那么接下来讲一下锐捷的路由交换设备配置web、telnet技巧。同样，今天的教程也是基于命令行，比较简单，适合新手小白进行学习。准备工作配置前准备：con...

一文学会telnet命令的用途和使用方法

Telnet是一个古老的远程登录协议，可以让本地计算机获得远程计算机的工作能力。它采用了TCP的可靠连接方式，可以连接任何网络互通的远程计算机。不过由于它采用了明文传输方式，存在安全风险，目前已经很少...

Telnet命令是什么?如何使用?（telnet命令在哪里开启）

telnet命令是一个常用的远程登陆工具，使用它，我们可以快捷地登陆远程服务器进行操作。那么如何使用telnet命令呢？首先，我们需要打开telnet功能，任何电脑默认是关闭此功能的，开启方式如下：打...

win11系统如何开启telnet服务(拷贝版本)

　　我们要知道，Telnet协议是Internet远程登陆服务的标准协议，可以使用户在本地计算机上完成远程主机的工作，不过对于一些刚接触win11中文版系统的用户来说，可能还不知道telnet服务在哪...

如何开启telnet客户端（如何开启telnet服务）

Telnet协议是TCP/IP协议家族中的一员，是Internet远程登陆服务的标准协议和主要方式，Telnet是常用的远程控制Web服务器的方法。工作中经常用到telnet客户端，但在windows...

Telnet 是什么，如何启用它?（telnet有什么用）

对于Internet等TCP/IP网络，Telnet是一个终端仿真程序。Telnet软件在您的系统上运行并将您的个人计算机链接到网络服务器。它将所有数据转换为纯文本这一事实被认为是易受...

取消回复欢迎 你 发表评论:

一周热门
最近发表
标签列表