Linux多用户Docker容器访问权限隔离方案咨询

完全可以实现用户级隔离，限制不同用户访问彼此启动的容器，且无需修改现有Dockerfile添加用户。以下是具体实现方法：

一、核心方案：用户命名空间映射（userns-remap） #

这是Docker原生支持的宿主机层面隔离机制，能将容器内的root用户映射到宿主机的普通用户/UID范围，实现不同用户的容器资源完全隔离，互相无法查看、修改对方容器的文件或进程。

配置步骤： #

1. 分配独立UID/GID映射范围
   编辑宿主机的/etc/subuid和/etc/subgid文件，为每个用户分配不重叠的UID/GID段：

   user1:100000:65536
   user2:165536:65536
   

   解释：user1的容器内UID会被映射到宿主机的100000-165535范围，user2对应165536-231071范围，两段无交叉，彻底实现文件权限隔离。

2. 启用Docker用户命名空间映射
   编辑/etc/docker/daemon.json文件，添加全局配置：

   {
     "userns-remap": "default"
   }
   

   若需要更精细的用户专属映射，可指定具体用户：

   {
     "userns-remap": "user1"
   }
   

   注：如果要实现严格的用户专属容器池，可让每个用户启动独立的Docker守护进程（启动时指定--userns-remap参数绑定自身UID范围）。

3. 重启Docker服务生效

   sudo systemctl restart docker
   

二、辅助限制：Docker命令权限约束 #

如果需要进一步限制用户仅能操作自己的容器，可通过sudoers规则约束用户可执行的Docker命令：

1. 编辑sudoers文件（使用visudo避免语法错误）：

   sudo visudo
   

2. 添加规则，例如只允许user1管理名称以user1-开头的容器：

   user1 ALL=(ALL) NOPASSWD: /usr/bin/docker ps -f name=user1-*, /usr/bin/docker exec -it user1-*, /usr/bin/docker stop user1-*
   

   此规则会限制用户只能查看、操作自己命名的容器，无法访问他人容器。

三、无需修改Dockerfile的原因 #

以上方案均在宿主机层面或容器运行时配置，无需改动现有Dockerfile：

• userns-remap是宿主机Docker守护进程的全局配置，容器内仍可使用默认的root用户，但该root在宿主机上被映射为普通用户UID，与其他用户的容器UID范围无重叠，自然无法互相访问文件。
• 即使使用docker run --user指定宿主机用户运行容器，也只需在启动命令中添加参数，无需修改Dockerfile，同样能实现容器操作与宿主机用户权限绑定的隔离。

内容的提问来源于stack exchange，提问作者Kaviiiiii