Docker 的 rootless 模式是什么？

推荐答案

Docker 的 rootless 模式是一种允许非特权用户运行 Docker 容器的模式。在这种模式下，Docker 守护进程和容器都以普通用户的身份运行，而不是以 root 用户身份运行。这大大增强了安全性，因为即使容器被攻击，攻击者也无法获得 root 权限。

本题详细解读

什么是 rootless 模式？

Docker 的 rootless 模式是一种安全增强功能，它允许普通用户在不具备 root 权限的情况下运行 Docker 容器。传统的 Docker 安装需要 root 权限来启动和管理容器，这意味着如果容器被攻击，攻击者可能会获得对宿主机的完全控制权。而 rootless 模式通过将 Docker 守护进程和容器限制在普通用户的权限范围内，减少了这种风险。

rootless 模式的工作原理

在 rootless 模式下，Docker 守护进程和容器都以普通用户的身份运行。Docker 使用了一些 Linux 内核特性（如 user namespaces）来实现这一点。具体来说：

1. User Namespaces：通过 user namespaces，Docker 可以将容器内的 root 用户映射到宿主机的非特权用户。这意味着即使容器内的进程以 root 身份运行，它们在宿主机上仍然以普通用户的权限运行。

2. RootlessKit：Docker 使用 RootlessKit 工具来管理 rootless 模式下的容器。RootlessKit 是一个轻量级的工具，它允许普通用户在不具备 root 权限的情况下运行容器。

3. 文件系统隔离：在 rootless 模式下，Docker 使用用户的主目录来存储容器相关的文件，而不是传统的 /var/lib/docker 目录。这进一步增强了安全性，因为容器文件系统与宿主机的文件系统完全隔离。

rootless 模式的优点

1. 增强安全性：由于容器以普通用户的身份运行，即使容器被攻击，攻击者也无法获得 root 权限，从而减少了潜在的安全风险。

2. 无需 root 权限：普通用户可以在没有 root 权限的情况下运行 Docker 容器，这特别适合在多用户环境中使用。

3. 简化权限管理：在 rootless 模式下，管理员无需为每个用户分配 root 权限，简化了权限管理。

rootless 模式的限制

1. 性能开销：由于使用了 user namespaces 和其他安全机制，rootless 模式可能会引入一些性能开销。

2. 功能限制：某些 Docker 功能（如端口映射、网络配置等）在 rootless 模式下可能受到限制或需要额外的配置。

3. 兼容性问题：某些 Docker 插件或第三方工具可能不完全支持 rootless 模式，导致兼容性问题。

如何启用 rootless 模式

要启用 rootless 模式，可以按照以下步骤操作：

1. 安装 Docker 并确保版本支持 rootless 模式（Docker 20.10 及以上版本）。

2. 使用 dockerd-rootless.sh 脚本来启动 Docker 守护进程。

3. 配置用户环境变量，确保 Docker 客户端能够与 rootless 模式的守护进程通信。

$ dockerd-rootless.sh
$ export DOCKER_HOST=unix://$XDG_RUNTIME_DIR/docker.sock

通过这些步骤，普通用户就可以在不具备 root 权限的情况下运行 Docker 容器了。