Docker почему контейнер запускается от рута?

А разве этой опцией указывается не пользователь внутри контейнера?

sudo docker

А почему бы просто своего пользователя в группу docker не добавить?

sudo docker run -u user bla bla bla

а что в

ps aux | grep bla

мне кажется ты немного не правильно понимаешь как докер работает.

есть демон докера котрый запущен от рута, командой docker ты просто коннектишься к нему через сокет, и уже демон запускает контейнер. Группа docker помодет только для доступа к сокету без рута, но сам процесс не меняет.

А почему бы просто своего пользователя в группу docker не добавить?

Это аналогично sudo без пароля.

А разве этой опцией указывается не пользователь внутри контейнера?

Насколько я понял нет. Пользователь в данном примере -u user внутри контейнера вообще может быть любым, точнее нужно чтобы он был в файле passwd внутри самого контейнера. Иначе контейнер запуститься с ошибкой.

А почему бы просто своего пользователя в группу docker не добавить?

Тогда пароль sudo не придется вводить.

мне кажется ты немного не правильно понимаешь как докер работает.

Спасибо за пояснение, действительно не понимаю. Просто я привык допустим виртуалки когда запускаешь, можно любого пользователя назначить хоть /bin/false. И в процессе будет висеть этот пользователь. Т.е. не я один такой с рутом на выходе?

а что в

вроде написал:

root

dok с /bin/false

sudo -u dok docker bla bla bla

Кстати насчет добавить пользователя в группу docker. Его нужно добавить иначе на некторые команды ругается, что не может к сокету законнектиться.

Просто я привык допустим виртуалки когда запускаешь, можно любого пользователя назначить хоть /bin/false. И в процессе будет висеть этот пользователь. Т.е. не я один такой с рутом на выходе?

какие виртуалки? что за пользователь /bin/false? это шел.

Докер не виртуалка, это контейнер для процесса.

Грепая ты видишь процесс клиента докера, а не контейнер. Грепать надо по имени процесса который ты запускаешь. он уже будет от нужного пользователя. Докеру всё равно на пользователей системы, -u указывает на пользователя внутри контейнера.

какие виртуалки? что за пользователь /bin/false? это шел.

Ну да шел. просто выразился так коряво. Непривилегированный пользователь. Вот в kvm гостей так запускаю, от имени такого пользователя.

Грепать надо по имени процесса который ты запускаешь. он уже будет от нужного пользователя.

не в этом суть от чего грепать. я запускаю контейнер, с которого прокидывается порт мне на хост. смотрю этот сокет

sudo netstat -tulpan

Ну да шел. просто выразился так коряво. Непривилегированный пользователь. Вот в kvm гостей так запускаю, от имени такого пользователя.

докер не виртуалка, это контейнер, докер запускает процесс на хостовой системе изолируя его, грубо говоря, с помощью cgroup и chroot.

не в этом суть от чего грепать. я запускаю контейнер, с которого прокидывается порт мне на хост. смотрю этот сокет

сокет этот открывает не приложение, а докер демон, который работает от рута, и демон уже форвардит запросы приложению в контейнер, грепать надо по приложению.

докер не виртуалка, это контейнер

Строго говоря, это тоже виртуализация, только уровня операционной системы, а не аппаратной платформы.

сокет этот открывает не приложение, а докер демон, который работает от рута, и демон уже форвардит запросы приложению в контейнер, грепать надо по приложению.

Вот сейчас посмотрел, на вывод

sudo docker ps -a

systemd+

Строго говоря, это тоже виртуализация, только уровня операционной системы, а не аппаратной платформы.

Строго говоря да, я больше про то, что нельзя подходить к докеру как к KVM, помимо способа виртуализации, они очень сильно отличаются идеологически. в одном изолируется операционная система, в другом только процесс.

systemd+

вот хоть убейте не понимаю зачем люди пускают systemd в докере... Докер это контейнер для приложений, а не операционных систем, init там не нужен.

вот хоть убейте не понимаю зачем люди пускают systemd в докере

это вот сюда https://github.com/jessfraz/dockerfiles

• 1. run -u user аналогичен указанию USER в Dockerfile
• 2. пользователь с именем и uid должен быть создан внутри image/container-а

системе изолируя его, грубо говоря, с помощью cgroup и chroot.

chroot - не используется.

The underlying technology:
Namespaces
Control groups
Union file systems
Container format

Отсель

Почему не юзер

потому что юзер от которого докер запущен

chroot - не используется.

да не используется, используется libcontainer (либо LXC), это как то меняет ассоциацию?

LXC == chroot ? ну, ок, добавить нечего

LXC == chroot ?

??? где такое написано?

ну, ок, добавить нечего

Зачем писать что-то, если «нечего добавить»?