如何在Docker容器中以Rootless模式部署运行Web版VS Code

存在完全适配要求的可行方案，全程不需要sudo、不需要任何Linux特权能力（capability），支持任意非root UID直接启动，完全匹配给定的运行命令场景。

基于nss_wrapper实现动态用户身份映射，搭配预配置权限的目录结构，让Web版VS Code（code-server）在无特权、任意UID下正常运行，全程无提权操作。

• 基础镜像选择无冗余setuid程序的精简发行版（如Debian Slim），构建阶段不安装sudo、su这类提权工具，预装nss_wrapper、code-server及运行依赖，所有二进制文件移除setuid/setgid位，适配--cap-drop=all的最小权限要求。
• 提前创建运行所需的固定目录：code-server安装目录、工作区目录/workspace、配置存储目录/config、用户临时HOME目录/config/home、运行时临时目录/run/user，构建时将这些目录以及/tmp设置为所有用户可读写，避免运行时权限报错。
• 入口点脚本无需任何提权逻辑：启动时通过nss_wrapper动态生成临时用户映射文件，将当前运行的任意UID（包括命令传入的12345）映射为普通用户身份，不需要修改系统级/etc/passwd、/etc/group文件，不需要任何特权。
• code-server启动参数适配无特权环境：绑定1024以上的非特权端口（默认8080），关闭需要内核特权支持的Chromium沙箱（容器本身已提供隔离能力，不影响安全性），指定用户数据、扩展的存储路径为预创建的可写目录。

Dockerfile #

FROM debian:bookworm-slim

# 安装运行依赖，不包含任何提权工具
RUN apt update && apt install -y --no-install-recommends \
    ca-certificates curl libatomic1 nss-wrapper \
    && rm -rf /var/lib/apt/lists/*

# 部署code-server（Web版VS Code）到/opt/code-server目录，配置全局可读可执行权限
# 注：构建时将对应架构的code-server二进制包解压至/opt/code-server路径即可
RUN mkdir -p /opt/code-server
RUN chmod -R a+rx /opt/code-server

# 创建运行所需目录，配置全局可写权限
RUN mkdir -p /workspace /config/home /config/data /config/extensions /run/user \
    && chmod 777 /workspace /config /config/home /config/data /config/extensions /run/user /tmp

# 拷贝启动脚本
COPY entrypoint.sh /usr/local/bin/entrypoint.sh
RUN chmod +x /usr/local/bin/entrypoint.sh

EXPOSE 8080
ENTRYPOINT ["/usr/local/bin/entrypoint.sh"]

入口点脚本 entrypoint.sh #

#!/bin/sh
set -e

# 配置nss_wrapper动态用户映射，无特权要求
export NSS_WRAPPER_PASSWD=/tmp/passwd
export NSS_WRAPPER_GROUP=/tmp/group
CURRENT_UID=$(id -u)
CURRENT_GID=$(id -g)

# 生成临时用户身份条目，HOME指向预创建的可写目录
cat > $NSS_WRAPPER_PASSWD <<EOF
coder:x:${CURRENT_UID}:${CURRENT_GID}:Coder User:/config/home:/bin/sh
EOF
cat > $NSS_WRAPPER_GROUP <<EOF
coder:x:${CURRENT_GID}:
EOF

# 加载nss_wrapper接管系统用户查询逻辑
export LD_PRELOAD=$(find /usr/lib -name "libnss_wrapper.so" | head -n1)

# 启动code-server，全程以当前UID运行，无提权操作
exec /opt/code-server/bin/code-server \
    --bind-addr 0.0.0.0:8080 \
    --user-data-dir /config/data \
    --extensions-dir /config/extensions \
    --no-sandbox \
    --auth none \
    /workspace

构建完成后直接使用指定命令即可启动：

docker run -u 12345 --cap-drop=all -p 8080:8080 repo/rootless-vscode

启动后访问本地8080端口即可使用Web端VS Code，所有进程均以UID 12345运行，全程无sudo调用、无特权操作，编辑器的文件编辑、内置终端、扩展安装等功能均可正常使用，内置终端不会出现"I have no name!"类的用户识别错误。

内容的提问来源于stack exchange，提问作者mirekphd