Docker中使用gosu

為什么要用 gosu？

在 Docker 鏡像中啟動服務(wù)時，我們通常不希望以 root 身份運(yùn)行主進(jìn)程。

問題：

• 構(gòu)建鏡像時通常需要 root 權(quán)限；
• 啟動時希望進(jìn)程使用普通用戶運(yùn)行；
• 容器中使用 sudo 會產(chǎn)生額外的中間進(jìn)程，導(dǎo)致信號轉(zhuǎn)發(fā)不正常；
• 最終可能出現(xiàn)僵尸進(jìn)程、容器無法優(yōu)雅退出等問題。

gosu 是一個非常輕量的工具，功能類似 sudo，但不會產(chǎn)生額外進(jìn)程，非常適合在 Docker 容器中用來切換用戶。

注意事項

1. 創(chuàng)建專用普通用戶，不要直接使用 root。
2. 在 entrypoint 中使用 gosu 切換用戶，不要用 sudo。
3. 使用 exec 啟動主進(jìn)程，保證 PID=1 是應(yīng)用本身。
4. 正確接收 SIGTERM 信號，避免僵尸進(jìn)程。
5. 不要在 Docker 中濫用 sudo。

sudo vs gosu：真實(shí)對比

使用 gosu

docker run --rm gosu/alpine gosu root ps aux

輸出：

PID   USER     TIME  COMMAND
1     root     0:00  ps aux

• ps 命令的 PID 是 1，容器內(nèi)只有一個進(jìn)程。
• 這樣當(dāng)宿主機(jī)發(fā)送 SIGTERM 信號時，應(yīng)用能直接接收到。

使用 sudo

docker run --rm ubuntu:trusty sudo ps aux

輸出：

USER        PID %CPU %MEM    VSZ   RSS TTY      STAT START   TIME COMMAND
root          1  0.0  0.0  46012  1772 ?        Rs   12:05   0:00 sudo ps aux
root          6  0.0  0.0  15568  1140 ?        R    12:05   0:00 ps aux

• 容器內(nèi)出現(xiàn)兩個進(jìn)程，PID=1 被 sudo 占用。
• 應(yīng)用進(jìn)程的 PID 不為 1，無法直接接收信號。
• 當(dāng)執(zhí)行 docker stop 時，信號發(fā)送給的是 sudo，而不是應(yīng)用進(jìn)程，可能導(dǎo)致應(yīng)用殘留為僵尸進(jìn)程。

對比：

Dockerfile 安裝 gosu

在 Dockerfile 中添加如下步驟即可：

FROM ubuntu:22.04
# 安裝 gosu
RUN apt-get update && apt-get install -y gosu curl ca-certificates && rm -rf /var/lib/apt/lists/*
# 創(chuàng)建普通用戶
RUN groupadd -r tempuser && useradd -r -g tempuser tempuser
# 拷貝入口腳本
COPY entrypoint.sh /usr/local/bin/entrypoint.sh
RUN chmod +x /usr/local/bin/entrypoint.sh
# 驗(yàn)證 gosu 是否工作
RUN gosu nobody true
ENTRYPOINT ["/usr/local/bin/entrypoint.sh"]

entrypoint.sh 的寫法

entrypoint.sh 是容器啟動腳本。

#!/usr/bin/env bash
set -e
# 使用 gosu 切換用戶身份
if [ "$1" = "start-app" ]; then
    echo "Running application as tempuser..."
    exec gosu tempuser /app/my_server
fi
# 如果有其他命令，直接執(zhí)行
exec "$@"

注意：exec 會讓當(dāng)前 shell 被新進(jìn)程取代，保證應(yīng)用進(jìn)程的 PID=1。

構(gòu)建 & 運(yùn)行容器

docker build -t myapp .
docker run --rm -p 8080:8080 myapp start-app

容器內(nèi)：

• /app/my_server 的 PID = 1
• 收到 docker stop 的信號時，能正確退出
• 不會殘留 sudo 或 shell 僵尸進(jìn)程

信號量與僵尸進(jìn)程問題

容器啟動時 PID=1 的進(jìn)程非常特殊，它負(fù)責(zé)接收來自宿主機(jī)的信號（例如 SIGTERM、SIGINT）。

• 如果 PID=1 是 sudo，信號不會傳給應(yīng)用；
• 如果 PID=1 是應(yīng)用進(jìn)程本身，就能優(yōu)雅退出；
• 使用 exec + gosu 可以保證 PID=1 是你的應(yīng)用；
• 避免使用 shell 包一層后 & 運(yùn)行后臺進(jìn)程的錯誤做法。

常見問題

參考資料

• gosu 官方 GitHub
• Docker 官方最佳實(shí)踐
• Docker 官方最佳實(shí)踐中文
• Why use exec in entrypoint?（Stack Overflow）
• CSDN docker與gosu

到此這篇關(guān)于Docker中使用gosu的文章就介紹到這了,更多相關(guān)docker使用gosu內(nèi)容請搜索腳本之家以前的文章或繼續(xù)瀏覽下面的相關(guān)文章希望大家以后多多支持腳本之家！

最新評論