LXC容器内部和外部的用户权限？

我正在服务器上的Docker LXC容器内部运行某些服务，并且我开始对它们进行认真的处理。

我尚不清楚的一件事是容器内部和外部用户权限的工作方式。例如，如果我在一个容器中运行MySQL并将其数据目录设置为/dataDocker卷（即Docker卷），那么该容器内部和外部的权限如何影响访问策略？

显然，其想法是在容器（即mysql:mysql）中以其自己的用户身份运行MySQL，并赋予其对该目录的读写权限。我认为这将非常简单，只需chmod进入目录等即可。但是，这在容器外如何工作？现在我有了这个名为“数据”的Docker共享卷，如何管理对它的访问控制？

我特别希望能够在Docker容器外部运行非特权用户，该用户将定期访问MySQL共享卷并备份数据。

如何设置权限，用户和组，以便主机上的特定用户可以读取/写入Docker共享卷中的文件和文件夹？

自0.9版本发布以来，Docker下降LXC并使用其自己的执行环境libcontainer。您的问题有点老，但我想我的答案仍然适用您使用的版本。

快速解答：要了解卷的权限，可以类推mount --bind Host-Dir Container-Dir。因此，为了满足您的要求，您可以使用任何传统方法来管理权限。我想ACL是您所需要的。

长答案：因此，如您的示例中那样，我们有一个名为dock的容器，该容器带有volume /data。

docker run -tid --name dock -v /usr/container/Databases/:/data \
    centos:latest /bin/bash

在容器内，我们的MySQL服务器已配置为使用/data为其数据目录。因此，我们的数据库位于/data容器内部。在Host OS容器的外部，我们从中装入了该/data卷，/usr/container/Databases/并分配了一个普通用户bob来备份数据库。在主机上，我们将为用户bob配置ACL 。

useradd -u 3000 bob
usermod -R o=--- /usr/container/Databases/
setfacl -R -m u:bob:rwx /usr/container/Databases/
setfacl -R -d -m u:bob:rwx /usr/container/Databases/

要进行测试，请使用bob进行备份。

su - bob
tar -cvf container-data.tar /usr/container/Databases/

tar将会列出，您可以看到我们的用户能够访问所有文件。

现在从容器内部进行检查，getfacl您会注意到它显示的是3000 ，而不是bob。这是因为bob的UID是3000，并且容器中没有这样的用户，因此它只是显示从元数据中接收到的UID 。现在，如果您在容器中创建用户，您useradd -u 3000 bob会注意到现在getfacl显示的名称是bob而不是3000。

摘要：因此，您从容器内部或外部分配的用户权限会同时反映两种环境。因此，要管理卷的权限，主机中的UID必须与容器中的UID不同。