2

Есть:

  • 2 докер контейнера (nginx, php) и общая директория /var/www

    version: '2'
    services:
       web:
         image: nginx
         ports:
           - "80:80"
         links:
           - app
         volumes:
           - /var/www:/var/www/html
       app:
         image: php:7-fpm
         volumes:
           - /var/www:/var/www/html
    
  • проекты добавляю локально в /var/www c правами myuser:myuser ug+rwx

Проблема:

  • каждый контейнер использует своего внутренего пользоватя (nginx, www-data)
  • все остальные команды в контейнере делаються от root
  • постоянные проблемы с "Permission denied"

Что нужно:

Не перенастраивая каждый контейнер под одного пользователя (root), избавиться от вышеуказаных проблем

Допонительно:

  • Без докера, имея большой зоопарк сервисов, проблема решалась SUID меткой, иногда добавленим пользователей в центральную группу. Но этот способ с докером "не работает", так как каждый контейнер незнает о групах и пользователях извне
  • Есть идея что докер может запускать контейнеры (сервисы) от имени нужного мне пользователя, таким образом неразбираясь в дебрях контейнеров они будут редактировать файлы (volumes) от имени пользователя хостовой машины
  • На данный момент проблема не решаемая хорошим способом, вот официальная дискусия на гитхабе

2 ответа 2

1

каждый контейнер использует своего внутренего пользоватя (nginx, www-data)

Это не нужно в контейнере. У вас один процесс на контейнер, вам физически не нужны дополнительные пользователи. Вам не нужно сегрегировать ресурсы, вам не страшно, если пользователь залезет в системные файлы, потому что сломанный контейнер переподнимается за секунду.

За контейнерами кроется очень большая философия, одна из плоскостей которых хорошо отражена в концепции двенадцатифакторного приложения. Когда вы пишете приложение правильно, само приложение не использует файловую систему вообще - логи идут в stdout или сборщик логов, файлы стримятся в файловые хранилища, данные - в базу данных. Если у вас есть проблемы с правами доступа, то вы зачем-то пишете что-то на диск, и делаете это абсолютно зря. Это оправдано, потому что переход на двенадцатифакторное приложение требует хороших таких затрат, но правда остается той же - вам просто физически не нужно ничего писать на диск, иметь несколько пользователей, запускать несколько процессов.

1
  • у меня все кашерно, сервис nginx получил на обработку директорию, и обработывает. Вот только мне не нравиться что сервис делает лишние дейсвтия с директорией в виде изменения свойств файлов. Вопрос больше к менеджеру (програме docker), как заставить контейнеры работать с volume не изменяя свойств файлов, что бы контейнер (сервис) обрабатывал входящие данные от имени пользователя который использует конейнер
    – duhon
    24 фев 2016 в 20:40
0

Вы можете воспользоваться chmod.

chmod - программа для изменения прав доступа к файлам, директориям.

Команда chmod имеет следующий синтаксис:

chmod [options] mode[,mode] file1 [file2 ...]

Для примера, приведу несколько кодов, для изменения прав доступа:

744 (-rwxr--r--) Каждый пользователь может читать, владелец имеет право редактировать и запускать на выполнение

755 (-rwxr-xr-x) Каждый пользователь имеет право читать и запускать на выполнение; владелец может редактировать

777 (-rwxrwxrwx) Каждый пользователь может читать, редактировать и запускать на выполнение

2
  • и как воспользоваться этой командой в указаном мною случае :) Любой контейнер может создать файл с другими правами от имени другого пользователя. Я же не могу каждую минуту запускать chmod -R 777 .
    – duhon
    24 фев 2016 в 20:05
  • В таком случае эту задачу нужно решать другим способом. Так как 2 контейнера должны использовать файлы друг друга хорошим решением будет использовать 3-й контейнер к которому, с помощью некоего API, будут обращаться первые 2. В этом случае не придется бороться с ветрянными мельницами. Как вариант можно воспользоваться samba,ftp, webdav.
    – Alex
    7 мар 2016 в 16:46

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими условиями использования и подтверждаете, что прочитали и поняли наши политику конфиденциальности и нормы поведения.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.