如何在Windows容器中以管理员运行脚本且启动的CMD不提升权限

你不需要使用runas这类需要交互式输入密码的命令，直接利用Docker原生的USER指令分层切换执行上下文即可，这也是Windows容器官方推荐的权限隔离方案。

具体实现 #

核心逻辑是：需要高权限的操作全部放在管理员用户上下文执行，所有管理员操作完成后，在启动容器前显式切换回普通内置用户ContainerUser，示例Dockerfile如下：

FROM mcr.microsoft.com/windows/servercore:ltsc2022

# 切换到管理员账号，执行需要高权限的前置操作
USER ContainerAdministrator
# 拷贝你的前置执行脚本到容器内
COPY pre-setup.ps1 C:\scripts\
# 执行前置脚本，可按需替换为你需要的其他管理员操作（安装依赖、修改系统配置等）
RUN powershell -ExecutionPolicy Bypass -File C:\scripts\pre-setup.ps1
# 可选：给普通用户授予工作目录的访问权限，避免后续权限不足
RUN icacls C:\workspace /grant ContainerUser:(OI)(CI)RX /T

# 关键步骤：所有管理员操作完成后，切换回普通用户
USER ContainerUser

# 配置容器启动命令，此时启动的cmd/powershell默认运行在非提权状态
CMD ["cmd.exe"]

注意事项 #

• 你之前遇到的启动后Shell处于提权状态的问题，本质是写完USER ContainerAdministrator后，没有在CMD指令前切回ContainerUser。Docker的USER指令会对后续所有RUN/CMD/ENTRYPOINT指令生效，最终启动的进程会继承最后一次USER指令指定的账号权限。
• runas方案本身不适合容器场景：该命令设计用于交互式登录场景，Windows容器默认没有为ContainerUser配置可交互输入的登录密码，/savecred参数依赖用户配置文件里存储的凭据，在无状态的容器构建流程中无法正常工作。
• 权限验证方法：容器启动后在Shell中执行whoami /groups，如果输出中不存在Mandatory Label\High Mandatory Level（高强制完整性级别）标记，就说明当前Shell处于非权限提升状态，符合要求。

内容的提问来源于stack exchange，提问作者Shubham Sharma