群组docker​

Question

我们想在我们大学的服务器上使用docker。从阅读

https://docs.docker.com/install/linux/linux-postinstall/#manage-docker-as-a-non-root-user

我知道建议创建一个 Unix 组docker并将用户添加到该组。在我的研究组中，我们共用一台服务器，因此自然而然地我会将几个人添加到该docker组中。

但这是否也意味着docker小组中的每个成员都可以启动和停止任何容器，即使这些容器不是他们自己的？对我来说，这似乎是不切实际的。

更一般地说，我的问题是：

团队在共享机器上使用 docker 的最佳实践是什么？

Answer 1

TL;DR：docker组成员身份 = root 权限

群组docker​

确实，人们经常读到的建议是将能够使用 docker 的用户添加到docker组中。但是，由于用户在容器内是 root 权限，可以使用它挂载系统上的任何路径-v（甚至是他们通常无权访问的路径），因此这实际上是赋予所有用户 root 权限。

因此，用户可能会干扰其他用户的容器，这只能算是一个“小问题”。如果他们是该docker组的成员，他们实际上可以对系统进行任何操作。

共享机器上的 Docker

如果确实需要原始 Docker，请考虑两个选项：

1. 稳定的解决方案：虚拟机中的 Docker

我一直在做的事情就是在虚拟机中运行 Docker。您将每个用户一个虚拟机添加到共享计算机，然后允许用户在该计算机中运行容器。当然，这只有在您可以容忍资源开销的情况下才有效（并且对于许多用户，其中只有少数用户同时登录，可能需要开发某种方案来自动启动和停止虚拟机）。

2. 实验性解决方案：Rootless Docker

我不知道该项目的当前状态，但正在努力使 Docker 无需 root 身份即可使用，用户只需运行自己的 Docker（无需任何组成员身份）。请参阅https://engineering.docker.com/2019/02/experimenting-with-rootless-docker/

另一种解决方案：Docker 的替代方案。

如果不需要 Docker，而是任何容器环境，请考虑替代方案。我读到过它podman提供了一个非常相似的界面，而不需要以 root 身份运行。