云原生知识：为什么不推荐在容器内使用默认的 root 用户？

以下是为什么在Docker容器中使用默认的root用户不被推荐的原因：

1. 安全隐患：

   • 默认情况下，Docker以root用户（UID 0）运行容器。如果容器内的进程与外部资源交互（例如主机的文件系统），它会使用与root用户关联的访问权限。
   • 这意味着如果容器进程被入侵，它有可能访问和修改底层主机上的所有文件。这通常是不理想的。

2. 容器越界：

   • 想象一下容器进程的行为出现意外或被迫执行恶意操作的情况。例如，它可能连接到被篡改的外部服务、崩溃或更改其行为。
   • 如果容器进程以root身份运行，它有可能写入主机的文件系统或生成监听来自远程系统的连接的进程。
   • 即使您信任自己的容器，也要考虑其他人创建类似容器时的风险。您能保证它们的安全性吗？

3. 最佳实践：

   • 大多数软件不需要root访问权限。将容器作为普通用户运行可以立即增加一层防御，防止容器越界。
   • 在创建Docker镜像时，建议在Dockerfile的最后阶段创建一个新的非root用户帐户。
   • 这样做可以确保即使容器进程被入侵，它也不会在主机系统上拥有root权限。

总之，虽然有些情况下可能需要root访问权限（例如系统服务），但对于大多数应用程序来说，以非root用户身份运行容器是更安全的做法。