Docker SSHD容器新增用户持久化方案咨询

核心需求 #

• SSHD容器支持多设备连接，每个设备对应唯一ID命名的socket文件，通过端口转发映射到设备TCP端口
• 实现socket文件的权限隔离，同时解决容器重建后用户丢失、系统工具兼容的问题

可行解决方案 #

方案1：使用nss_wrapper实现动态用户映射 #

nss_wrapper可以让程序读取自定义的passwd/group文件，无需修改系统/etc目录，同时兼容adduser/usermod等工具。

操作步骤：

1. 安装依赖：在容器镜像中安装nss-wrapper（以Debian/Ubuntu为例）

   apt update && apt install -y libnss-wrapper
   

2. 创建持久化卷：

   docker volume create ssh-user-data
   

   启动容器时挂载到/var/lib/ssh-users
3. 初始化自定义用户文件：
   复制系统默认的/etc/passwd和/etc/group到卷目录，作为基础模板：

   cp /etc/passwd /var/lib/ssh-users/
   cp /etc/group /var/lib/ssh-users/
   

4. 容器启动配置：
   在启动脚本中设置环境变量，让SSHD和系统工具读取自定义用户文件：

   export NSS_WRAPPER_PASSWD=/var/lib/ssh-users/passwd
   export NSS_WRAPPER_GROUP=/var/lib/ssh-users/group
   # 路径根据系统架构调整，比如32位系统路径不同
   export LD_PRELOAD=/usr/lib/x86_64-linux-gnu/libnss_wrapper.so
   

5. 管理用户：
   添加新设备用户时，使用useradd并指定配置文件路径：

   useradd --no-create-home --password '*' -u 1001 device-xxx -D --passwd /var/lib/ssh-users/passwd --group /var/lib/ssh-users/group
   

   或者直接编辑卷目录下的passwd/group文件，遵循标准格式。

优缺点：

• ✅ 不修改系统/etc目录，容器重建后用户数据完全保留
• ✅ 兼容adduser/usermod等系统工具
• ✅ 通过Unix用户权限实现socket文件的严格隔离
• ❌ 需要额外安装依赖，需维护自定义用户文件格式

方案2：单用户+目录ACL隔离 #

放弃每个设备创建系统用户，改用单个受限用户，通过目录ACL实现不同设备socket文件的访问隔离。

操作步骤：

1. 创建受限用户：在容器中创建一个非root用户（比如device-agent），禁用密码登录，仅允许密钥认证。
2. 创建持久化卷：

   docker volume create device-sockets
   

   挂载到容器内/var/lib/device-sockets
3. 设备目录与ACL配置：
   为每个设备ID创建独立目录，设置ACL限制仅对应设备的SSH密钥能访问：

   mkdir /var/lib/device-sockets/device-xxx
   # 假设设备的SSH公钥关联的用户是device-agent，通过SSH连接时传递设备ID
   setfacl -m u:device-agent:rwX /var/lib/device-sockets/device-xxx
   # 可进一步限制其他用户访问
   setfacl -m o::- /var/lib/device-sockets/device-xxx
   

4. SSHD强制命令配置：
   在sshd_config中添加：

   Match User device-agent
       ForceCommand /usr/local/bin/setup-device-env.sh %h
       PermitTunnel yes
       AllowTcpForwarding yes
   

   编写setup-device-env.sh脚本，根据设备ID切换到对应目录，确保socket文件创建在该目录下：

   #!/bin/bash
   DEVICE_ID=$(echo $SSH_CLIENT | awk '{print $1}') # 或通过SSH自定义参数传递更可靠的ID
   cd /var/lib/device-sockets/$DEVICE_ID
   exec $SHELL
   

5. 端口转发配置：
   设备连接时，指定socket文件路径为/var/lib/device-sockets/device-xxx/socket.sock。

优缺点：

• ✅ 无需维护多个系统用户，架构简单
• ✅ 容器重建后目录和ACL规则通过卷保留
• ❌ 依赖ACL配置和SSH命令传递设备ID，权限隔离强度略低于系统用户
• ❌ 需要确保设备ID传递的准确性，避免越权访问

方案3：使用PAM文件认证 #

通过PAM的pam_file模块，将用户信息存储在独立的文件中，与系统/etc分离，同时让SSHD基于该文件完成认证。

操作步骤：

1. 配置PAM：编辑/etc/pam.d/sshd，添加：

   auth    required    pam_file.so userfile=/var/lib/ssh-users/users.txt
   account required    pam_file.so userfile=/var/lib/ssh-users/users.txt
   

2. 创建用户文件：在卷目录下创建users.txt，格式为username:uid:gid:home:shell，比如：

   device-xxx:1001:1001:/var/lib/device-sockets/device-xxx:/bin/bash
   

3. 挂载卷：将/var/lib/ssh-users挂载为Docker卷，确保用户文件持久化。
4. SSHD配置：开启UsePAM yes，并禁用密码登录，强制密钥认证。

优缺点：

• ✅ 用户信息与系统完全分离，容器重建不丢失
• ✅ 权限隔离依赖UID/GID，符合Unix权限模型
• ❌ PAM配置有一定复杂度，需熟悉PAM规则
• ❌ 无法直接使用adduser等工具，需手动维护用户文件

方案推荐 #

• 如果需要严格的系统级用户隔离，且希望兼容系统工具，优先选择方案1（nss_wrapper）
• 如果追求架构简洁，且对权限隔离要求不是极端严格，优先选择方案2（单用户+ACL）

内容的提问来源于stack exchange，提问作者macdjord