如何获取Java8 Distroless镜像中nonroot用户的UID/GID以解决K8s部署问题？

1. 获取distroless/java:8中nonroot用户的UID/GID #

因为镜像没有shell，无法直接进入容器查看，推荐两种简单方法：

• 方法一：通过docker inspect提取镜像元数据
  运行以下命令直接获取用户ID信息：

docker inspect gcr.io/distroless/java:8 --format '{{range .Config.User}}{{.}}{{end}}'

distroless系列镜像的nonroot用户默认UID/GID都是65532，也可以用更详细的命令验证：

docker inspect gcr.io/distroless/java:8 | grep -A5 -B5 "nonroot"

• 方法二：用临时容器挂载镜像文件系统查看/etc/passwd
  借助带shell的alpine镜像，挂载distroless镜像的文件系统读取用户配置：

docker run --rm -v $(docker create gcr.io/distroless/java:8):/distro alpine cat /distro/etc/passwd

输出中会找到nonroot:x:65532:65532:Nonroot User:/home/nonroot:/sbin/nologin，直接拿到UID=65532，GID=65532。

2. 解决Terraform配置中的安全上下文冲突 #

你遇到的问题是设置fs_group = 1234后，Terraform自动填充了run_as_user = 0和run_as_group = 0，违反了non-root策略。解决核心是手动显式指定run_as_user和run_as_group为nonroot的UID/GID，覆盖默认值：

在Terraform的K8s部署资源中，修改security_context配置：

resource "kubernetes_deployment" "example" {
  # 其他部署配置...
  spec {
    template {
      spec {
        security_context {
          fs_group = 1234
          run_as_non_root = true
          run_as_user = 65532
          run_as_group = 65532
        }
        container {
          # 容器基础配置...
          security_context {
            run_as_non_root = true
            run_as_user = 65532
            run_as_group = 65532
          }
        }
      }
    }
  }
}

这样既保留了fs_group的设置，又强制使用nonroot用户运行，不会触发权限冲突报错。

3. 关于安全要求的说明 #

• 如果Dockerfile已经指定USER nonroot，K8s默认会继承这个用户运行容器，能满足基础的非root运行安全要求。
• 但如果集群启用了**PodSecurity标准（restricted模式）**或旧的PodSecurityPolicy，会要求显式设置run_as_non_root: true，甚至强制指定非root的UID/GID。这种情况下仅靠Dockerfile的USER指令无法通过校验，必须在K8s清单中配置对应的securityContext参数。

内容的提问来源于stack exchange，提问作者fireman777