26、容器安全与签名实践指南

容器安全与签名实践指南

1. 无root权限容器运行

现代Linux发行版借助 shadow-utils 包中的 /etc/subuid 和 /etc/subgid 文件，来确定可用于映射用户命名空间的UID和GID。默认情况下，每个用户会分配65536个UID和65536个GID。

我们可以通过以下命令查看无root权限容器中 subuid 和 subgid 的分配情况：

$ id
uid=1000(alex) gid=1000(alex) groups=1000(alex),10(wheel) 
$ podman run alpine cat /proc/self/uid_map /proc/self/gid_map

输出结果如下：

         0       1000          1
         1     100000      65536
         0       1000          1
         1     100000      65536

从输出可以看出，这两个文件将UID和GID 0映射为当前运行容器的用户的UID/GID（这里是1000），之后从100000开始映射UID和GID 1，直到165536（100000 + 65536）。

2. 避免以UID 0运行容器