如何配置.NET Docker容器与应用，实现动态非root租户用户隔离？

核心思路 #

因为每个租户的用户信息（UID/GID）只有运行容器时才明确，所以确实无法在Dockerfile中预先配置固定用户。我们需要通过docker run的动态参数注入权限信息，同时配合启动脚本确保.NET应用正确使用指定权限。

具体配置步骤 #

1. 构建镜像时做基础准备 #

Dockerfile中无需创建特定用户，但要确保镜像包含用户管理工具，同时将应用启动方式替换为自定义脚本，以便动态处理用户创建逻辑。

示例Dockerfile片段：

# 基于官方.NET运行时镜像
FROM mcr.microsoft.com/dotnet/aspnet:8.0

# 安装必要的用户管理工具（部分基础镜像已自带，可根据实际情况调整）
RUN apt-get update && apt-get install -y --no-install-recommends passwd && rm -rf /var/lib/apt/lists/*

# 设置应用工作目录
WORKDIR /app

# 复制编译好的.NET应用文件
COPY ./publish .

# 替换默认入口为自定义启动脚本
ENTRYPOINT ["./start-app.sh"]

2. 编写动态创建用户的启动脚本 #

创建start-app.sh脚本，在容器启动时根据传入的UID/GID生成临时用户，切换用户后启动.NET应用：

#!/bin/bash

# 从环境变量读取宿主机租户用户的UID和GID，默认值设为1000（常见普通用户UID）
USER_UID=${HOST_UID:-1000}
USER_GID=${HOST_GID:-1000}
USER_NAME="tenant-runner"

# 创建对应GID的用户组
groupadd -g $USER_GID $USER_NAME
# 创建用户，不生成家目录，指定UID/GID和bash shell
useradd -u $USER_UID -g $USER_GID -M -s /bin/bash $USER_NAME

# 确保应用目录权限允许该用户访问（按需调整，比如应用依赖的配置目录、临时目录）
chown -R $USER_UID:$USER_GID /app

# 切换用户并启动.NET应用，exec确保信号能正确传递给应用进程
exec su - $USER_NAME -c "dotnet YourApp.dll"

记得给脚本添加执行权限：

chmod +x start-app.sh

3. 运行容器时传入租户权限信息 #

通过环境变量传入宿主机租户用户的UID和GID，同时挂载租户专属目录：

# 获取宿主机租户用户的UID和GID（假设租户用户名为tenant1）
HOST_UID=$(id -u tenant1)
HOST_GID=$(id -g tenant1)

# 启动容器
docker run -d \
  -e HOST_UID=$HOST_UID \
  -e HOST_GID=$HOST_GID \
  -v /home/tenant1/app-data:/app/data \
  --name tenant1-app \
  your-dotnet-image:latest

4. 验证权限生效 #

进入容器查看应用进程的运行用户：

docker exec -it tenant1-app ps aux

可以看到.NET应用是以tenant-runner用户运行的，该用户的UID/GID与宿主机的tenant1完全一致，此时写入挂载目录的文件会自动带上宿主机tenant1的权限。

关键注意事项 #

• 宿主机挂载目录权限：确保宿主机的租户用户对挂载目录有读写权限，容器内的对应用户才能正常操作文件。
• 避免直接用--user指定UID/GID：如果直接通过--user $HOST_UID:$HOST_GID启动容器，容器内可能没有该用户的shell或必要环境变量，容易导致.NET应用启动失败，通过脚本动态创建用户更可靠。
• .NET应用无需额外修改：只要应用没有硬编码使用root权限操作文件，就会自动继承当前运行用户的权限。

内容的提问来源于stack exchange，提问作者cmos