Unterschied zwischen Docker Lauf --user und --group-Parameter hinzufügen

Question

Was ist der Unterschied zwischen docker run Parameter:

-u, --user="" 
     Sets the username or UID used and optionally the groupname or GID for the specified command. 

    The followings examples are all valid: 
     --user [user | user:group | uid | uid:gid | user:gid | uid:group ] 

    Without this argument the command will be run as root in the container. 

und

--group-add=[] 
     Add additional groups to run as 

?

Answer 1

docker run --user=demo_user <image_name> <command> betreibt einen Container mit dem angegebenen Befehl als demo_user

docker run --user=demo_user:group1 <image_name> <command> betreibt einen Container mit dem angegebenen Befehl als demo_user, deren primäre Gruppe wird auf Gruppe1 festgelegt

docker run --user=demo_user:group1 --group-add group2 <image_name> <command> läuft, einen Behälter mit dem gegebenen Befehl als demo_user primäre Gruppe, deren auf Konzern1 und group2 als Nebengruppe des Benutzers

Hinweis: Benutzer und für diese verwendet Gruppen Optionen MÜSSEN in dem Bild erstellt werden, von dem wir einen Container erstellen. Wenn --group-add Option ohne --user angegeben ist und das Bild KEIN Benutzer deklariert wurde (Benutzer hätte erstellt werden sollen, aber nicht über USER-Anweisung in Dockerfile deklariert, aus dem das Image erstellt wurde), werden Gruppenänderungen an dem root Benutzer im Container vorgenommen .

Wenn --group-add allein Option ohne --user angegeben wird und das Bild hat den Benutzer erklärt (via USER Anweisung in Dockerfile von dem das Bild erstellt wurde), passieren Gruppe Änderungen an den angemeldeten Benutzer im Container.

Answer 2

Wenn Sie ein Docker-Image erstellen, können Sie auch Benutzer und Gruppen darin erstellen. Mit diesen Optionen können Sie sich als bestimmter Benutzer (-u) und mit zusätzlichen Gruppen (--group-add) verbinden.

Mit anderen Worten, wenn Sie einen Prozess in einem Docker-Container ausführen, tun Sie dies als den bereitgestellten Benutzer und seine Gruppen (im System definiert). Sie können dem System mitteilen, dass der aktuelle Benutzer zusätzliche Gruppen hat, indem Sie das Flag --group-add für die Lebensdauer des Prozesses verwenden.

Schauen Sie sich die Dokumentation hier: https://docs.docker.com/engine/reference/run/#/additional-groups

$ docker run --rm --group-add audio --group-add nogroup --group-add 777 busybox id 
uid=0(root) gid=0(root) groups=10(wheel),29(audio),99(nogroup),777