### 歡迎訪問我的GitHub
> 這裡分類和彙總了欣宸的全部原創(含配套原始碼)：[https://github.com/zq2599/blog_demos](https://github.com/zq2599/blog_demos)

### 容器中不要使用root賬號
- gosu是個工具，用來提升指定賬號的許可權，作用與sudo命令類似，而docker中使用gosu的起源來自安全問題；

- docker容器中執行的程式，如果以root身份執行的會有安全隱患，該程式擁有容器內的全部許可權，更可怕的是如果有資料卷對映到宿主機，那麼透過該容器就能操作宿主機的資料夾了，一旦該容器的程式有漏洞被外部利用後果是很嚴重的。
- 因此， **容器內使用非root賬號執行程式才是安全的方式，** 這也是我們在製作映象時要注意的地方。

- 這裡有篇文章也推薦在容器中使用最小許可權的賬號：https://snyk.io/blog/10-docker-image-security-best-practices/ ，如下圖：
![在這裡插入圖片描述](https://img-blog.csdnimg.cn/2019062319342024.jpg?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly94aW5jaGVuLmJsb2cuY3Nkbi5uZXQ=,size_16,color_FFFFFF,t_70)

### 在映象中建立非root賬號
- 既然不能用root賬號，那就要建立其他賬號來執行程式了，以redis官方映象的Dockerfile為例，來看看如何建立賬號，如下圖，地址是：https://github.com/docker-library/redis/blob/6845f6d4940f94c50a9f1bf16e07058d0fe4bc4f/5.0/Dockerfile ：
![在這裡插入圖片描述](https://img-blog.csdnimg.cn/20190623140818315.jpg?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly94aW5jaGVuLmJsb2cuY3Nkbi5uZXQ=,size_16,color_FFFFFF,t_70)

- 可見redis官方映象使用groupadd和useradd建立了名為redis的組合賬號，接下來就是用redis賬號來啟動服務了，理論上應該是以下套路：
1. 用 **USER redis** 將賬號切換到redis；
2. 在docker-entrypoint.sh執行的時候已經是redis身份了，如果遇到許可權問題，例如一些檔案只有root賬號有讀、寫、執行許可權，用sudo xxx命令來執行即可；

-  **但事實並非如此！** 
- 在Dockerfile指令碼中未發現 **USER redis** 命令，這意味著執行docker-entrypoint.sh指令碼的身份是root；
- 其次，在docker-entrypoint.sh中沒有發現 **su - redis** 命令，也沒有 **sudo** 命令；

- 這是怎麼回事呢？難道容器內的redis服務是用root賬號啟動的？

### 確認redis服務的啟動賬號
- 還是自己動手來證實一下吧，我的環境資訊如下：
- 作業系統：CentOS Linux release 7.6.1810
- Docker： 1.13.1

- 操作步驟如下：

- 啟動一個redis容器：
```shell
docker run --name myredis -idt redis
```

- 進入容器：
```shell
docker exec -it myredis /bin/bash
```

- 在容器內，先更新apt：
```shell
apt-get update
```

- 安裝ps命令：
```shell
apt-get install procps
```

- 執行命令 **ps -ef** 檢視redis服務，結果如下：
```shell
root@122c2df16bbb:/data# ps -ef
UID         PID   PPID  C STIME TTY          TIME CMD
redis         1      0  0 09:22 ?        00:00:01 redis-server *:6379
root        287      0  0 09:36 ?        00:00:00 /bin/bash
root        293    287  0 09:39 ?        00:00:00 ps -ef
```

- 上面的結果展示了兩個關鍵資訊：
- 第一，redis服務是redis賬號啟動的，並非root；
- 第二，redis服務的PID等於1，這很重要，宿主機執行 **docker stop** 命令時，該程式可以收到SIGTERM訊號量，於是redis應用可以做一些退出前的準備工作，例如儲存變數、退出迴圈等，也就是優雅停機(Gracefully Stopping)；

- 現在我們已經證實了redis服務並非root賬號啟動，而且該服務程式在容器內還是一號程式，但是我們在Dockerfile和docker-entrypoint.sh指令碼中都沒有發現切換到redis賬號的命令，也沒有sudo和su，這是怎麼回事呢？

### 答案是gosu
- 再看一次redis的docker-entrypoint.sh指令碼，如下圖，地址是：https://github.com/docker-library/redis/blob/6845f6d4940f94c50a9f1bf16e07058d0fe4bc4f/5.0/docker-entrypoint.sh ：

![在這裡插入圖片描述](https://img-blog.csdnimg.cn/2019062315265852.jpg?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly94aW5jaGVuLmJsb2cuY3Nkbi5uZXQ=,size_16,color_FFFFFF,t_70)

- 注意上圖中的程式碼，我們來分析一下：
- 假設啟動容器的命令是 **docker run --name myredis -idt redis redis-server /usr/local/etc/redis/redis.conf** ；
- 容器啟動後會執行docker-entrypoint.sh指令碼，此時的賬號是root；
- 當前賬號是root，因此會執行上圖紅框中的邏輯；
- 紅框中的$0表示當前指令碼的名稱,即 **docker-entrypoint.sh** ；
- 紅框中的$@表示外部傳入的所有引數，即 **redis-server /usr/local/etc/redis/redis.conf** ；
- gosu redis "$0" "@"，表示以redis賬號的身份執行以下命令：

```shell
docker-entrypoint.sh redis-server /usr/local/etc/redis/redis.conf
```

- gosu redis "$0" "@"前面加上個exec，表示以gosu redis "$0" "@"這個命令啟動的程式替換正在執行的docker-entrypoint.sh程式，這樣就保證了gosu redis "$0" "@"對應的程式ID為1；
- gosu redis "\$0" "@"導致docker-entrypoint.sh再執行一次，但是當前的賬號已經不是root了，於是會執行兜底邏輯 exec "$@"；
- 此時的$@是redis-server /usr/local/etc/redis/redis.conf，因此redis服務會啟動，而且賬號是redis；
- $@前面有個exec，會用redis-server命令啟動的程式取代當前的docker-entrypoint.sh程式，所以，最終redis程式的PID等於1，而docker-entrypoint.sh這個指令碼的程式已經被替代，因此就結束掉了；

### 關於gosu
- 透過上面的分析，我們對gosu的作用有了基本瞭解：功能和sudo類似，提升指定賬號的許可權，用來執行指定的命令，其官網地址是：https://github.com/tianon/gosu ，如下圖所示，官方的描述也是說su和sudo命令有一些問題，所以才有了gosu工具來作為替代品：

![在這裡插入圖片描述](https://img-blog.csdnimg.cn/20190623192744268.jpg?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly94aW5jaGVuLmJsb2cuY3Nkbi5uZXQ=,size_16,color_FFFFFF,t_70)

- 在docker的官方文件中，也見到了gosu的使用示例，和前面的redis很像，如下圖，地址是：https://docs.docker.com/develop/develop-images/dockerfile_best-practices/
![在這裡插入圖片描述](https://img-blog.csdnimg.cn/20190623194040769.jpg?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly94aW5jaGVuLmJsb2cuY3Nkbi5uZXQ=,size_16,color_FFFFFF,t_70)
- 注意上圖中底部的那段話：使用exec XXX命令以確保XXX對應的程式的PID保持為1，這樣該程式才能收到宿主機傳送給容器的訊號量；

### 為什麼要用gosu取代sudo？
- 前面主要講gosu的用法，但是為什麼要用gosu呢？接下來透過實戰對比來看看sudo的問題在哪：
- 執行以下命令建立一個容器：

```shell
docker run --rm gosu/alpine gosu root ps aux
```

- 上述命令會啟動一個安裝了gosu的linux容器，並且啟動後自動執行命令 **gosu root ps aux** ，作用是以root賬號的身份執行 **ps aux** ，也就是將當前程式都列印出來，執行結果如下：

```shell
[root@centos7 ~]# docker run --rm gosu/alpine gosu root ps aux
PID   USER     TIME  COMMAND
    1 root      0:00 ps aux
```

- 上述資訊顯示，我們執行docker run時的 **gosu root ps aux** 會執行ps命令，該命令成了容器內的唯一程式，這說明透過gosu啟動的是符合我們要求的（PID為1），接下來再看看用sudo執行ps命令的效果；
- 執行以下命令建立一個容器：

```shell
docker run --rm ubuntu:trusty sudo ps aux
```
- 上述命令會用sudo啟動ps命令，結果如下：

```shell
USER        PID %CPU %MEM    VSZ   RSS TTY      STAT START   TIME COMMAND
root          1  0.0  0.0  46012  1772 ?        Rs   12:05   0:00 sudo ps aux
root          6  0.0  0.0  15568  1140 ?        R    12:05   0:00 ps aux
```
- 儘管我們只想啟動ps程式，但是容器內出現了兩個程式，sudo命令會建立第一個程式，然後該程式再建立了ps程式，而且ps程式的PID並不等於1，這是達不到我們要求的，此時在宿主機向該容器傳送訊號量，收到訊號量的是sudo程式。

- 透過上面對可以小結：
- gosu啟動命令時只有一個程式，所以docker容器啟動時使用gosu，那麼該程式可以做到PID等於1；
- sudo啟動命令時先建立sudo程式，然後該程式作為父程式去建立子程式，1號PID被sudo程式佔據；

- 綜上所述，在docker的entrypoint中有如下建議：
- 建立group和普通賬號，不要使用root賬號啟動程式；
- 如果普通賬號許可權不夠用，建議使用gosu來提升許可權，而不是sudo；
- entrypoint.sh指令碼在執行的時候也是個程式，啟動業務程式的時候，在命令前面加上exec，這樣新的程式就會取代entrypoint.sh的程式，得到1號PID；
 - exec "\$@"是個保底的邏輯，如果entrypoint.sh的入參在整個指令碼中都沒有被執行，那麼exec "$@"會把入參執行一遍，如果前面執行過了，這一行就不起作用，這個命令的細節在Stack Overflow上有詳細的描述，如下圖，地址是：https://stackoverflow.com/questions/39082768/what-does-set-e-and-exec-do-for-docker-entrypoint-scripts

![在這裡插入圖片描述](https://img-blog.csdnimg.cn/20190623212801501.jpg)

### 如何在映象中安裝gosu
- 前面的redis例子中，我們看到docker-entrypoint.sh中用到了gosu，那麼是在哪裡安裝了gosu呢？自然是Dockerfile中，一起來看看redis的Dockerfile中是如何安裝gosu的：

```shell
# grab gosu for easy step-down from root
# https://github.com/tianon/gosu/releases
ENV GOSU_VERSION 1.10
RUN set -ex; \
	\
	fetchDeps=" \
		ca-certificates \
		dirmngr \
		gnupg \
		wget \
	"; \
	apt-get update; \
	apt-get install -y --no-install-recommends $fetchDeps; \
	rm -rf /var/lib/apt/lists/*; \
	\
	dpkgArch="$(dpkg --print-architecture | awk -F- '{ print $NF }')"; \
	wget -O /usr/local/bin/gosu "https://github.com/tianon/gosu/releases/download/$GOSU_VERSION/gosu-$dpkgArch"; \
	wget -O /usr/local/bin/gosu.asc "https://github.com/tianon/gosu/releases/download/$GOSU_VERSION/gosu-$dpkgArch.asc"; \
	export GNUPGHOME="$(mktemp -d)"; \
	gpg --batch --keyserver ha.pool.sks-keyservers.net --recv-keys B42F6819007F00F88E364FD4036A9C25BF357DD4; \
	gpg --batch --verify /usr/local/bin/gosu.asc /usr/local/bin/gosu; \
	gpgconf --kill all; \
	rm -r "$GNUPGHOME" /usr/local/bin/gosu.asc; \
	chmod +x /usr/local/bin/gosu; \
	gosu nobody true; \
	\
	apt-get purge -y --auto-remove $fetchDeps
```

- 至此，gosu在docker中的作用已經分析完畢，希望在您編寫自定義映象的時候，本文能給您帶來一些參考；

### 歡迎關注ITpub：程式設計師欣宸
> [學習路上，你不孤單，欣宸原創一路相伴...](http://blog.itpub.net/70017844/)

docker與gosu

相關文章