Considere el siguiente archivo Dockerfile trivial:

FROM debian:testing
RUN  adduser --disabled-password --gecos '' docker
RUN  adduser --disabled-password --gecos '' bob 

En un directorio de trabajo sin nada más. Construir la imagen de docker:

docker build -t test .

Y luego ejecute un script bash en el contenedor, vinculando el directorio de trabajo a un nuevo sub-directorio en el directorio home de bob:

docker run --rm -it -v $(pwd):/home/bob/subdir test 

¿A quién pertenece el contenido de subdir en el contenedor? En el contenedor, ejecute:

cd /home/bob/subdir
ls -l

Ad vemos: {[21]]}

-rw-rw-r-- 1 docker docker 120 Oct 22 03:47 Dockerfile

Santo cielo! docker posee el contenido! De vuelta en la máquina host fuera de la contenedor, vemos que nuestro usuario original todavía posee el Dockerfile. Vamos a intentar arreglar la propiedad del directorio home de bob. En el contenedor, ejecute:

chown -R bob:bob /home/bob
ls -l 

Y vemos:

-rw-rw-r-- 1 bob bob 120 Oct 22 03:47 Dockerfile

Pero espera! fuera del contenedor, ahora ejecutamos ls -l

-rw-rw-r-- 1 1001 1001 120 Oct 21 20:47 Dockerfile

Ya no tenemos nuestro propio archivo. Terrible noticia!

Si solo hubiéramos agregado un usuario en el ejemplo anterior, todo habría ido mejor. Por alguna razón, Docker parece estar haciendo cualquier directorio personal propiedad del first usuario no root que encuentra (incluso si ese usuario es declarado en una imagen anterior). Del mismo modo, este primer usuario es el que corresponde a los mismos permisos de propiedad que el usuario de mi hogar.

Pregunta 1 ¿Es eso correcto? ¿Puede alguien señalarme a la documentación de esto, sólo estoy conjeturando basado en el experimento anterior.

Pregunta 2 : Tal vez esto es solo porque ambos tienen el mismo valor numérico en el kernel, y si probaba en un sistema donde mi usuario doméstico no era id 1000 entonces los permisos se cambiarían en todos los casos?

Pregunta 3: La verdadera pregunta es, por supuesto, '¿qué hago al respecto?'Si bob está conectado como bob en la máquina host dada, debería poder ejecutar el contenedor como bob y no tener permisos de archivo alterados bajo su cuenta host. Tal como está, en realidad necesita ejecutar el contenedor como usuario docker para evitar que su cuenta sea alterada.

Te oigo preguntar ¿Por qué tengo un archivo Dockerfile tan raro de todos modos?. A veces también me lo pregunto. Estoy escribiendo un contenedor para una aplicación web (RStudio-server) que permite a diferentes usuarios iniciar sesión, que simplemente utiliza los nombres de usuario y las credenciales de la máquina linux como los nombres de usuario válidos. Esto me trae la motivación quizás inusual de querer crear múltiples usuarios. Puedo evitar esto creando el usuario solo en tiempo de ejecución y todo está bien. Sin embargo, yo uso una base imagen que ha agregado un único usuario docker para que pueda usarse interactivamente sin ejecutarse como root (según las mejores prácticas). Esto arruina todo, ya que ese usuario se convierte en el primer usuario y termina poseyendo todo, por lo que los intentos de iniciar sesión como otros usuarios fallan (la aplicación no se puede iniciar porque carece de permisos de escritura). Hacer que el script de inicio se ejecute chown primero resuelve este problema, pero a costa de que los volúmenes vinculados cambien los permisos (obviamente, solo es un problema si estamos enlazando volumen).