От какого пользователя выполняется команда, указанная в CMD или ENTRYPOINT?

Выполнение команды в CMD/ENTRYPOINT: контекст пользователя

Команда, указанная в директивных инструкциях CMD или ENTRYPOINT Dockerfile, по умолчанию выполняется от пользователя, заданного в инструкции USER. Если инструкция USER не определена в Dockerfile явно, то используется пользователь по умолчанию контейнерного образа, который, в свою очередь, зависит от базового образа.

Стандартное поведение в популярных образах

• Образы на основе scratch или alpine: Часто используют root (UID 0) как пользователя по умолчанию.
• Официальные образы node, python, nginx, postgres и другие: В целях безопасности многие современные официальные образы создают и переключаются на непривилегированного пользователя (например, node, www-data, postgres) внутри своих Dockerfile. Поэтому команда CMD будет запущена уже от имени этого пользователя, если инструкция USER не переопределена позднее.

Практический пример и важные нюансы

Рассмотрим Dockerfile для приложения Python:

FROM python:3.11-slim

# Копируем зависимости и устанавливаем их
WORKDIR /app
COPY requirements.txt .
RUN pip install --no-cache-dir -r requirements.txt

# Копируем исходный код приложения
COPY . .

# Официальный образ Python по умолчанию использует root на этом этапе.
# Мы явно создаем непривилегированного пользователя.
RUN useradd -m -u 1000 appuser && chown -R appuser /app
USER appuser

# Эта команда будет выполнена от имени пользователя 'appuser'
CMD ["python", "app.py"]

В этом примере процесс python app.py запустится от appuser (UID 1000).

Ключевые моменты для понимания:

1. Динамическое переопределение: Пользователя, от которого запускается CMD, можно переопределить при запуске контейнера с помощью флага docker run -u. Например, docker run -u 1234 myimage запустит процесс от пользователя с UID 1234, независимо от указанного в Dockerfile USER.

2. Различие между CMD и ENTRYPOINT: С точки зрения пользователя разницы нет. Обе директивы выполняются в контексте пользователя, установленного на момент их вызова. Разница заключается в их роли:

    *   `ENTRYPOINT` определяет исполняемую программу (например, `/docker-entrypoint.sh`).
    *   `CMD` задает аргументы по умолчанию для этой программы. При использовании в форме `exec` (`CMD ["python", "app.py"]`) она сама становится исполняемой командой, если `ENTRYPOINT` не задан.

1. Безопасность и best practice: Запуск процессов контейнера от непривилегированного пользователя (non-root) — это критически важная практика контейнерной безопасности. Она минимизирует ущерб в случае компрометации приложения внутри контейнера (например, при эксплуатации уязвимости). Всегда явно задавайте USER в Dockerfile, если вашему приложению не требуются права root.

Как проверить текущего пользователя?

Если у вас есть сомнения, от какого пользователя выполняется процесс в конкретном образе, вы можете это проверить:

# 1. Запустим контейнер в интерактивном режиме и выполним команду
docker run --rm myimage whoami

# 2. Или проинспектируем запущенный контейнер
docker exec <container_id> ps aux
# В колонке USER будет указан владелец процесса, соответствующего ENTRYPOINT/CMD.

Итог: По умолчанию команда CMD/ENTRYPOINT выполняется от пользователя, определенного последней инструкцией USER в Dockerfile. Если USER не задан, используется пользователь по умолчанию базового образа, которым зачастую (но не всегда) является root. Для продакшен-окружения всегда рекомендуется явное создание и использование непривилегированного пользователя.