来自另一个容器的 Docker 中的 mount.cifs 需要特权

Question

我的用例是一个转码农场，它从 Samba 共享读取输入并将其写入另一个。

在 Docker 中使用 mount.cifs 需要 SYS_ADMIN 和 DAC_READ_SEARCH 两种能力。我可以使用两台主机并在一台主机上运行smbd，并将其共享安装在另一台主机上。 （smbd 和 mount 都在容器中运行，只是在不同的主机中。）

但是，我不能使用相同的 mount 命令将 Samba 共享挂载到运行 smbd 的容器的主机上。

编辑：它适用于 Docker 桌面，但在 Linux 主机中失败。 （与docker引擎服务器版本相同）

TL;DR 以下 Docker Compose 失败，除非我授予它特权访问权限。

环境：适用于 Mac 的 Docker，不适用于裸机 Linux（Ubuntu 18.04.4 4.15.0-91-generic Docker 19.03.8 containerd 1.2.13），不适用于 Hyper-V 虚拟化 Linux（ Ubuntu 19.04 5.0.0-38-generic Docker 19.03.6 containerd 1.2.13)

version: '3.4'

services:
  samba:
    image: dperson/samba
    environment:
      TZ: 'EST5EDT'
    networks:
      - default
    ports:
      - "137/udp"
      - "138/udp"
      - "139/tcp"
      - "445/tcp"
    tmpfs:
      - /tmp
    restart: unless-stopped
    stdin_open: true
    tty: true
    volumes:
      - /samba-data
    command: '/bin/bash -c "touch /samba-data/file.txt && samba.sh -s \"data;/samba-data\" -u \"bob;bob\" -p"'
  mounter:
    image: ubuntu
    command: '/bin/bash -c "apt update && apt install -y cifs-utils && mkdir /samba-data && mount -v -o username=bob,password=bob,vers=3.0,ro,port=445 //samba/data /samba-data"'
    tty: true
#   privileged: true
    cap_add:
      - SYS_ADMIN
      - DAC_READ_SEARCH
networks:
  default:

我的问题，

1. 为什么在同一个 Docker 主机上运行时需要特权？
2. 我可以让它更严格（只给它需要的东西）吗？

Answer 1

您的用例中有什么需要在容器内进行挂载的吗？让 docker 处理挂载怎么样？

在您的示例中，您正在启动一个容器来公开一个 samba 共享，并启动另一个容器来读取它。如何简单地将两个容器绑定到同一个 docker 卷（即在 docker-compose 的顶层定义一个命名卷，并在两个服务中使用它）？这是在容器之间共享挂载的常用方式，并且不需要特权或开放端口。例如，请参阅this SO answer。

如果这个“共享文件夹”必须是 CIFS（因为在现实生活中它不是 samba 容器，而是 Windows 服务器？），您可以使用指向支持 CIFS 的 docker volume plugin 的 volume-driver 参数定义卷，例如this one 或this other one。您的“安装程序”容器将从已安装的 CIFS 共享开始。无需从容器内部安装，因此无需特权容器或扩展帽。