Докер, помимо некоторых удобных штук, вводит некоторые правила игры, которым стоит следовать, потому что они удваивают прирост великолепности от использования этого движка.
Во-первых - да, пока в создании контейнера не замешан рандом, все существующее в нем будет воссоздоваться идентично вне зависимости от количества запусков и параллельных контейнеров одного образа.
Во-вторых, имена пользователей создаются специально для того, чтобы абстрагироваться от айдишников. Признаюсь, я не до конца понял проблему, очевидо, проблема в правах на volume, но я с этим никогда не сталкивался, и в следующей части вопроса объясню, почему.
Во-первых, вам стоит забыть о классической модели логов. Докер активно продвигает философию "один контейнер - один процесс" (и, судя по разделению сервер со статикой / приложения, вы и без меня это знаете), сам контейнер и есть то, что вы в нем запускаете. Благодаря этому больше не нужно складывать логи в отдельные файлы, заниматься их ротацией и прочее - нужно просто выкидывать все напрямую в stdout, а докер уже сам позаботится о хранении и ротации (для этого, правда, придется указать некоторые опции контейнеру) логов. Кроме того, это позволяет скинуть кучу проблем администрирования по сбору этих логов - достаточно просто собирать их с указанных контейнеров, а что там валяется - вообще без разницы. Я уж молчу про то, что если логи сразу отправляются по сети куда-либо, минуя файлы, то это тоже дает значимый прирост скорострельности. Да и docker logs --tail 100 abcd
, как правило, выполняется быстрее нахождения нужного файла.
Благодаря той же философии вам не нужно заботиться о пользователях. У вас есть root, и он может делать внутри системы все, что захочет, внутри просто нет иерархии пользователей, у которых есть разные права. Даже если кто-то обнаружит уязвимость в приложении и сломает контейнер, перезапустить его - дело десяти секунд. /etc/passwd
хоста все равно не угнать.
По поводу разработки в докер-контейнерах - честно сказать, я пытался это внедрить у себя, но не взлетело по ряду причин (java и так маскирует в себе все внешние зависимости, запускаясь веб-сервером сама по себе; дебаггер IDEA ведет себя куда приятней на обычном run, нежели remote run).
Закончу ссылкой на 12-factor app, концепцию, которая продвигает очень близкие докеру по духу стандарты.