Kubernetes：Linux用户管理

Question

我们在 Kubernetes 中运行 docker 容器。 Docker 允许在主机系统级别以不同用户运行容器。

我正在查看几个 Helm 图表，例如，Prometheus 似乎以“nobody”身份运行，而Grafana 正在使用 Dockerfile 中的 useradd 创建其用户（硬编码 id）。

有什么方法可以标准化 Kubernetes 中的行为，可能确保只有容器需要系统上的用户存在？并且一旦容器被安排在别处就被移除。

我也担心我们会得到 userId 冲突，导致意外的行为，这将很难测试......

Answer 1

容器没有必要拥有具有在 docker 主机上容器内使用的 UID 的用户。

示例如下：

On the docker host machine:

# Mongo container is running
root@docker-test:~# docker ps -a
CONTAINER ID        IMAGE               COMMAND                  CREATED             STATUS              PORTS               NAMES
08495ae15f44        mongo:latest        "docker-entrypoint..."   23 minutes ago      Up 23 minutes       27017/tcp           some-mongo

# mongod process is running under UID 999
root@docker-test:~# ps aux | grep mongo | grep -v grep
999      14035  0.6  1.7 986136 67612 ?        Ssl  08:56   0:01 mongod --bind_ip_all

# there is no user with UID 999 id on the docker host machine
root@docker-test:~# cat /etc/passwd | grep 999
root@docker-test:~# 

Inside the container:

# attaching to container
root@docker-test:~# docker exec -it 08495ae15f44 bash

# mongod process is running with privileges of the mongodb user
root@08495ae15f44:/# ps aux | grep mongo | grep -v grep
mongodb      1  0.4  1.8 990320 70036 ?        Ssl  08:56   0:02 mongod --bind_ip_all

# user mongodb is present inside the container in /etc/passwd and has UID 999
root@08495ae15f44:/# cat /etc/passwd | grep mongodb
mongodb:x:999:999::/home/mongodb:/bin/sh
root@08495ae15f44:/#