Docker, монтировать тома только для чтения

107

Я работаю с Docker, и я хочу смонтировать динамическую папку, которая сильно меняется (чтобы мне не пришлось создавать образ Docker для каждого выполнения, что было бы слишком дорого), но я хочу, чтобы эта папка была доступна только для чтения . Смена владельца папки на другого работает. Однако chownтребуется rootдоступ, который я бы предпочел не предоставлять приложению.

Когда я использую -vфлаг для монтирования, он дает то имя пользователя, которое я даю, я создал пользователя без полномочий root внутри образа докера, однако все файлы в томе с владельцем в качестве пользователя, запустившего докер, меняются на пользователя I give из командной строки, поэтому я не могу создавать файлы и папки только для чтения. Как я могу предотвратить это?

Я также добавил mustafa ALL=(docker) NOPASSWD: /usr/bin/docker, чтобы я мог перейти на другого пользователя через терминал, но все же файлы имеют разрешения для моего пользователя.

readonly docker Мустафа
источник

Просто подумал, что оставлю здесь комментарий, в котором говорится, что предоставление пользователю возможности запускать контейнеры докеров - это то же самое, что предоставление ему полного корневого доступа. Это также задокументировано в разделе безопасности документации докера.

Blackclaws 08

Ответы:

171

Вы можете указать, что том должен быть доступен только для чтения, добавив :roк -vпереключателю:

docker run -v volume-name:/path/in/container:ro my/image

Обратите внимание, что в этом случае папка будет доступна только для чтения в контейнере и для чтения-записи на хосте.

2018 Править

Согласно документации по использованию томов , теперь существует другой способ монтировать тома с помощью --mountпереключателя. Вот как это использовать в режиме только для чтения:

$ docker run --mount source=volume-name,destination=/path/in/container,readonly my/image

докер-сочинять

Вот пример того, как указать контейнеры только для чтения в docker-compose:

version: "3"
services:
  redis:
    image: redis:alpine
    read_only: true

Альп
источник

есть ли возможность записи, но не записывать их обратно на хост? это было бы фантастически

Рэй Фосс

Похоже, вы хотите вообще не указывать громкость.

Альп

Вроде ... Мне просто не нравится создавать образ только для того, чтобы использовать Dockerfile COPY или использовать отдельную docker cpкоманду для отключенного контейнера.

Рэй Фосс

Может быть, вы могли бы создать для этого новый вопрос, где вы предоставите более подробную информацию, и разместите его здесь?

Alp

Вы также можете использовать короткий синтаксис с docker redis:alpine:ro

compote

докер-сочинять

Вот правильный способ указать том только для чтения в docker-compose:

version: "3.2" # Use version 3.2 or above
services:
  my_service:
    image: my:image
    volumes:
      - type: volume
        source: volume-name
        target: /path/in/container
        read_only: true
volumes:
  volume-name:

https://docs.docker.com/compose/compose-file/#long-syntax-3

Денис Стафичук
источник

Это действительно правильно, но здесь только для чтения - это том, а не контейнер.

Константин Ван

Это работает только для меня с version: "3.2"- Спасибо :)

Дэйви

"Добавлено в формате файла версии 3.2." Угу

rybo111

Вы также можете сделать - './my-file.txt:/container-readonly-file.txt:ro'под volumes- обратите внимание :roна в конце.

rybo111