/*************************************************
* Author : Samson
* Date : 08/15/2015
* Test platform:
* gcc 4.8.2
* GNU bash, 4.3.11(1)-release (x86_64-pc-linux-gnu)
* ***********************************************/

結論

實際進行測試的Dockerfile是shadowsocks的Dockerfile，在此Dockerfile中新增兩行即
可使後續執行應用程式時的許可權為非root使用者，將進行對比docker中的程序狀態與Host
環境中的應用程式的執行狀態進行對比，可以看出在docker中以普通使用者許可權執行的程
序在host主機中執行的也是普通使用者許可權，在docker中以root使用者許可權執行的程式在host
主機中執行的也是root使用者許可權。
 

前提說明

為了區分root與非root使用者的區別，若在Dockerfile中不使用USER進行指定使用者的情況
下，將會預設按root的許可權進行啟動應用程式，為了安全考慮，除非必須使用root許可權，
絕不使用root許可權，那麼就在Dockerfile中要執行程式前使用USER指定非root使用者來執行
應用程式，只需要在執行程式前新增一個非root許可權使用者並使用USER命令切換到此非root使用者即可。

具體修改方法

新增如下兩行在ENTRYPOINT [“/bin/tini”, “–”, “/usr/local/bin/shadowsocks.sh”]的前面：

RUN useradd noroot -u 1000 -s /bin/bash
USER noroot

編譯映象方法

然後在Dockerfile目錄下分別在修改前後執行：
修改前：

docker build -rm -t rootyygy .

修改後：

docker build -rm -t norootyygy .

其中rootyygy為預設root使用者執行應用程式的映象，norootyygy為普通使用者執行應用程式的映象。

啟動映象：

docker run -d --name rootyygy rootyygy
docker run -d --name norootyygy norootyygy

得到兩個容器的程序號：

$ docker inspect -f {{.State.Pid}} rootyygy
9818
$ docker inspect -f {{.State.Pid}} norootyygy
9875
 

進入兩個容器中：

noroot容器中：

sudo nsenter --target 9875 --mount --uts --ipc --net --pid

在容器中顯示程序：

[email protected]:/# ps aux
USER        PID %CPU %MEM    VSZ   RSS TTY      STAT START   TIME COMMAND
noroot        1  0.0  0.0   1104     4 ?        Ss   08:14   0:00 /bin/tini -- /usr/local/bin/shadowsocks.sh
noroot        7  0.0  0.0  20032  2816 ?        S    08:14   0:00 /bin/bash /usr/local/bin/shadowsocks.sh
noroot        8  0.0  0.3  45764 14368 ?        S    08:14   0:00 /usr/bin/python /usr/local/bin/ssserver -c /etc/shadowsocks.json
root         20  0.0  0.0  20256  3192 ?        S    08:17   0:00 -bash
root         25  0.0  0.0  17488  2040 ?        R+   08:21   0:00 ps aux

在host主機的程序檢視：

$ ps aux | grep shadowsocks
ufo       10594  0.0  0.0   1104     4 ?        Ss   16:51   0:00 /bin/tini -- /usr/local/bin/shadowsocks.sh
ufo       10599  0.0  0.0  20032  2808 ?        S    16:51   0:00 /bin/bash /usr/local/bin/shadowsocks.sh
ufo       10600  0.0  0.3  45764 14292 ?        S    16:51   0:00 /usr/bin/python /usr/local/bin/ssserver -c /etc/shadowsocks.json
ufo       10874  0.0  0.0  10152  1960 pts/1    S+   16:52   0:00 grep shadowsocks

root容器中：

sudo nsenter --target 9818 --mount --uts --ipc --net --pid

在容器中顯示程序：

[email protected]:/# ps aux
USER        PID %CPU %MEM    VSZ   RSS TTY      STAT START   TIME COMMAND
root          1  0.0  0.0   1104     4 ?        Ss   08:13   0:00 /bin/tini -- /usr/local/bin/shadowsocks.sh
root          6  0.0  0.0  20032  2748 ?        S    08:13   0:00 /bin/bash /usr/local/bin/shadowsocks.sh
root          7  0.0  0.3  45764 14392 ?        S    08:13   0:00 /usr/bin/python /usr/local/bin/ssserver -c /etc/shadowsocks.json
root         19  0.0  0.0  20256  3232 ?        S    08:16   0:00 -bash
root         24  0.0  0.0  17488  2044 ?        R+   08:24   0:00 ps aux

在host主機的程序檢視：

$ ps aux | grep shadowsocks
root       9818  0.0  0.0   1104     4 ?        Ss   16:13   0:00 /bin/tini -- /usr/local/bin/shadowsocks.sh
root       9823  0.0  0.0  20032  2748 ?        S    16:13   0:00 /bin/bash /usr/local/bin/shadowsocks.sh
root       9824  0.0  0.3  45764 14392 ?        S    16:13   0:00 /usr/bin/python /usr/local/bin/ssserver -c /etc/shadowsocks.json
ufo       10298  0.0  0.0  10152  1964 pts/1    R+   16:48   0:00 grep shadowsocks