通过 UIDmap 使用 Containerd 的 CTR 运行容器，以映射到主机上的非 root 用户

Question

为了更好地理解如何将--uidmap与ctr一起使用，我通过以下步骤创建了一个测试容器。containerd版本号为1.4.3

构建和运行容器:

1. 构建Dockerfile

   $ cat Dockerfile
   FROM alpine
   ENTRYPOINT ["/bin/sh"]
   

   与

   $ docker build -t test .
   Sending build context to Docker daemon  143.1MB
   Step 1/2 : FROM alpine                         
   ---> d6e46aa2470d                             
   Step 2/2 : ENTRYPOINT ["/bin/sh"]              
   ---> Running in 560b09f9b287                  
   Removing intermediate container 560b09f9b287   
   ---> 8506bfeab109                             
   Successfully built 8506bfeab109                
   Successfully tagged test:latest                
   

2. 将图像保存为tar ball

   $ docker save test > test.tar
   

3. 用containerd的ctr导入它

   $ sudo ctr i import test.tar
   unpacking docker.io/library/test:latest (sha256:9f7dabf0e4feadbca9bdc180422a3f2cdd7b545445180a3c23de8129dc95f29b)...done
   

4. 创建并运行容器

   $ sudo ctr run --uidmap 0:5000:4999 docker.io/library/test:latest test
   

   uid映射应该映射容器内部uid 0(根)到5000对应于ctr的管理页:

   ——uidmap=":在指定UID映射范围的用户命名空间内运行;指定格式为container-uid:host-uid:length

检查容器和主机上的UID:

容器内:

ps -eo ruser,rgroup,comm 
RUSER    RGROUP   COMMAND
root     root     sh     
root     root     ps     

在主机上:

$ ps -eo uid,gid,cmd | grep /bin/sh
126   128 /bin/sh /usr/lib/lightdm/lightdm-greeter-session /usr/sbin/unity-greeter
0     0 /bin/sh

<标题>

它似乎不工作，/bin/sh运行作为根(uid=0)在容器内以及在主机上。

Answer 1

我搜索了一段时间，直到我检查了containerd的代码，并在cmd/ctr/commands/run/run_unix.go中找到了这个:

149       if uidmap, gidmap := context.String("uidmap"), context.String("gidmap"); uidmap != "" && gidmap != "" {
150         uidMap, err := parseIDMapping(uidmap)
151         if err != nil {
152           return nil, err
153         }
154         gidMap, err := parseIDMapping(gidmap)
155         if err != nil {
156           return nil, err
157         }

意思是:您必须同时提供uidmap和设置gidmap，否则将无法工作。

使用

再次运行上述容器

$ sudo ctr run --uidmap 0:5000:4999 --gidmap 0:5000:4999 docker.io/library/test:latest test

成功了。

容器内:

ps -eo ruser,rgroup,comm  
RUSER    RGROUP   COMMAND 
root     root     sh      
root     root     ps      

在主机上:

$ ps -eo uid,gid,cmd | grep /bin/sh
126   128 /bin/sh /usr/lib/lightdm/lightdm-greeter-session /usr/sbin/unity-greeter
5000  5000 /bin/sh