7.5. Права доступа, UID и GID

ls -ln    # числовые UID и GID вместо имён

host:      каталог ./data принадлежит UID 1000 (вы), права 755
container: процесс работает от UID 10001 (appuser из образа)
монтируем: -v ./data:/data
результат: Permission denied при записи

container: процесс работает от UID 0 (root по умолчанию)
монтируем: -v ./output:/output
приложение создаёт ./output/result.txt
на host:   файл принадлежит root, обычный пользователь не может его удалить

docker run --user "$(id -u):$(id -g)" -v "$PWD:/app" myimage

ARG UID=10001
ARG GID=10001
RUN groupadd -g ${GID} app && useradd -u ${UID} -g ${GID} -m app
USER ${UID}:${GID}

docker build --build-arg UID="$(id -u)" --build-arg GID="$(id -g)" -t dev .

sudo chown -R 10001:10001 ./data

sudo groupadd -g 2000 appdata
sudo chgrp -R 2000 ./data
sudo chmod -R g+rwX ./data
sudo find ./data -type d -exec chmod g+s {} +   # новые файлы наследуют группу
docker run --group-add 2000 --user "$(id -u)" ...

stat -c '%u:%g %n' ./data          # UID:GID на host
docker run --rm -v "$PWD/data:/d" img id -u   # UID процесса в container

mkdir -p /tmp/uid-demo && cd /tmp/uid-demo

docker build -q -t names - <<'EOF' > /dev/null
FROM alpine:3.21
# Тот же UID 1000, но под другим именем
RUN adduser -D -u 1000 совсем-другое-имя 2>/dev/null || adduser -D -u 1000 othername
EOF

echo "═══ кто такой UID 1000 на host ═══"
getent passwd 1000 | cut -d: -f1,3 | sed 's/^/  /'

echo "═══ кто такой UID 1000 в container ═══"
docker run --rm names sh -c 'getent passwd 1000 | cut -d: -f1,3' | sed 's/^/  /'

echo "═══ файл, созданный этим пользователем в container ═══"
docker run --rm -u 1000 -v "$PWD:/out" names sh -c 'echo данные > /out/f.txt'
echo "  ls -l  (имена):"
ls -l f.txt | awk '{print "    " $3 ":" $4 "  " $9}'
echo "  ls -ln (числа):"
ls -ln f.txt | awk '{print "    " $3 ":" $4 "  " $9}'

rm -f f.txt; docker rmi -f names > /dev/null

═══ кто такой UID 1000 на host ═══
  evg:1000
═══ кто такой UID 1000 в container ═══
  othername:1000
═══ файл, созданный этим пользователем в container ═══
  ls -l  (имена):
    evg:evg  f.txt
  ls -ln (числа):
    1000:1000  f.txt

mkdir -p /tmp/uid-demo/output && cd /tmp/uid-demo

echo "═══ container от root создаёт файл ═══"
docker run --rm -v "$PWD/output:/output" alpine:3.21 \
    sh -c 'echo "результат работы" > /output/report.txt'

ls -ln output/ | tail -1 | awk '{print "  владелец: " $3 ":" $4 "  файл: " $9}'

echo "═══ попытка удалить обычным пользователем ═══"
rm -f output/report.txt 2>&1 | sed 's/^/  /' || true
ls output/ | sed 's/^/  осталось: /'

echo "═══ приходится звать sudo в собственном каталоге ═══"
sudo rm -f output/report.txt && echo "  удалено через sudo"

═══ container от root создаёт файл ═══
  владелец: 0:0  файл: report.txt
═══ попытка удалить обычным пользователем ═══
  rm: cannot remove 'output/report.txt': Permission denied
  осталось: report.txt
═══ приходится звать sudo в собственном каталоге ═══
  удалено через sudo

cd /tmp/uid-demo
docker build -q -t nonroot - <<'EOF' > /dev/null
FROM alpine:3.21
RUN adduser -D -u 10001 appuser
USER 10001:10001
EOF

mkdir -p data && echo "исходное" > data/existing.txt
ls -ldn data | awk '{print "  каталог data принадлежит " $3 ":" $4}'

echo "═══ container от UID 10001 пытается писать ═══"
docker run --rm -v "$PWD/data:/data" nonroot sh -c 'echo новое > /data/new.txt' 2>&1 | sed 's/^/  /'

echo "═══ чтение при этом работает ═══"
docker run --rm -v "$PWD/data:/data" nonroot cat /data/existing.txt | sed 's/^/  /'

  каталог data принадлежит 1000:1000
═══ container от UID 10001 пытается писать ═══
  sh: can't create /data/new.txt: Permission denied
═══ чтение при этом работает ═══
  исходное

cd /tmp/uid-demo
cat > diag.sh <<'SH'
#!/usr/bin/env bash
# Сравнивает UID процесса в container с владельцем каталога host.
set -uo pipefail
IMAGE="${1:?образ}"; HOSTDIR="${2:?каталог host}"

c_uid="$(docker run --rm "$IMAGE" id -u)"
c_gid="$(docker run --rm "$IMAGE" id -g)"
c_groups="$(docker run --rm "$IMAGE" id -G)"
h_uid="$(stat -c '%u' "$HOSTDIR")"
h_gid="$(stat -c '%g' "$HOSTDIR")"
h_mode="$(stat -c '%a' "$HOSTDIR")"

printf '  container: UID=%s GID=%s группы=[%s]\n' "$c_uid" "$c_gid" "$c_groups"
printf '  host:      UID=%s GID=%s права=%s\n' "$h_uid" "$h_gid" "$h_mode"

if [ "$c_uid" = "$h_uid" ]; then
    echo "  ✓ UID совпадают — запись будет работать"
elif [ "$c_uid" = "0" ]; then
    echo "  ⚠ container работает от root: запись пройдёт,"
    echo "    но созданные файлы будут принадлежать root на host"
elif echo " $c_groups " | grep -q " $h_gid "; then
    perm_g="$(( (8#$h_mode / 8) % 8 ))"
    if [ "$(( perm_g & 2 ))" -ne 0 ]; then
        echo "  ✓ совпадает группа и есть право записи для группы"
    else
        echo "  ✗ группа совпадает, но у группы нет права записи (chmod g+w)"
    fi
else
    echo "  ✗ UID и группы не совпадают — Permission denied при записи"
fi
SH
chmod +x diag.sh

echo "═══ образ с UID 10001 против каталога UID 1000 ═══"
./diag.sh nonroot "$PWD/data"

echo
echo "═══ образ по умолчанию (root) ═══"
./diag.sh alpine:3.21 "$PWD/data"

═══ образ с UID 10001 против каталога UID 1000 ═══
  container: UID=10001 GID=10001 группы=[10001]
  host:      UID=1000 GID=1000 права=755
  ✗ UID и группы не совпадают — Permission denied при записи

═══ образ по умолчанию (root) ═══
  container: UID=0 GID=0 группы=[0 1 2 3 4 6 10 11 20 26 27]
  host:      UID=1000 GID=1000 права=755
  ⚠ container работает от root: запись пройдёт,
    но созданные файлы будут принадлежать root на host

cd /tmp/uid-demo
echo "═══ с --user \$(id -u):\$(id -g) ═══"
docker run --rm --user "$(id -u):$(id -g)" -v "$PWD/data:/data" \
    nonroot sh -c 'echo от текущего пользователя > /data/via-user.txt && echo "  запись прошла"'
ls -ln data/via-user.txt | awk '{print "  владелец файла: " $3 ":" $4}'
rm -f data/via-user.txt

echo
echo "═══ побочный эффект: пользователя нет в /etc/passwd ═══"
docker run --rm --user "$(id -u):$(id -g)" nonroot sh -c '
    echo -n "  whoami: "; whoami 2>&1 | head -1
    echo "  HOME:   ${HOME:-(пусто)}"
'

echo
echo "═══ исправление: задать HOME явно ═══"
docker run --rm --user "$(id -u):$(id -g)" -e HOME=/tmp nonroot sh -c '
    echo "  HOME:   $HOME"
    mkdir -p "$HOME/.cache" && echo "  кэш создать удалось"
'

═══ с --user $(id -u):$(id -g) ═══
  запись прошла
  владелец файла: 1000:1000
═══ побочный эффект: пользователя нет в /etc/passwd ═══
  whoami: whoami: unknown uid 1000
  HOME:   /
═══ исправление: задать HOME явно ═══
  HOME:   /tmp
  кэш создать удалось

cd /tmp/uid-demo
cat > Dockerfile.dev <<'EOF'
# syntax=docker/dockerfile:1
FROM python:3.13-slim

ARG UID=10001
ARG GID=10001

RUN groupadd -g ${GID} app 2>/dev/null || true && \
    useradd -u ${UID} -g ${GID} -m -s /bin/bash app 2>/dev/null || true

USER ${UID}:${GID}
WORKDIR /app
CMD ["sh", "-c", "id; echo HOME=$HOME; whoami"]
EOF

docker build -q -f Dockerfile.dev \
    --build-arg UID="$(id -u)" --build-arg GID="$(id -g)" \
    -t devimg . > /dev/null

echo "═══ образ собран под ваш UID ═══"
docker run --rm devimg

echo
echo "═══ запись в bind mount ═══"
docker run --rm -v "$PWD/data:/data" devimg sh -c 'echo ok > /data/built.txt && echo "  запись прошла"'
ls -ln data/built.txt | awk '{print "  владелец: " $3 ":" $4}'
rm -f data/built.txt

═══ образ собран под ваш UID ═══
uid=1000(app) gid=1000(app) groups=1000(app)
HOME=/home/app
whoami: app
═══ запись в bind mount ═══
  запись прошла
  владелец: 1000:1000

cd /tmp/uid-demo
sudo mkdir -p shared
sudo groupadd -g 60000 dockerdata 2>/dev/null || true
sudo chgrp -R 60000 shared
sudo chmod 2775 shared        # 2 — бит setgid

echo "═══ права каталога ═══"
ls -ldn shared | awk '{print "  " $1 "  " $3 ":" $4}'

echo "═══ запись из container с --group-add ═══"
docker run --rm --user "10001:10001" --group-add 60000 \
    -v "$PWD/shared:/shared" nonroot \
    sh -c 'echo из container > /shared/from-container.txt && echo "  запись прошла"'

echo "═══ владелец и группа созданного файла ═══"
ls -ln shared/from-container.txt | awk '{print "  " $3 ":" $4 "  (группа унаследована благодаря setgid)"}'

echo "═══ без setgid группа была бы основной группой процесса ═══"
sudo chmod 0775 shared
docker run --rm --user "10001:10001" --group-add 60000 \
    -v "$PWD/shared:/shared" nonroot \
    sh -c 'echo x > /shared/no-setgid.txt' 2>/dev/null
ls -ln shared/no-setgid.txt 2>/dev/null | awk '{print "  " $3 ":" $4 "  ← группа НЕ унаследована"}'

sudo rm -rf shared
sudo groupdel dockerdata 2>/dev/null || true

═══ права каталога ═══
  drwxrwsr-x  0:60000
═══ запись из container с --group-add ═══
  запись прошла
═══ владелец и группа созданного файла ═══
  10001:60000  (группа унаследована благодаря setgid)
═══ без setgid группа была бы основной группой процесса ═══
  10001:10001  ← группа НЕ унаследована

cd /tmp/uid-demo
mkdir -p wide && chmod 777 wide

echo "═══ запись из container от root ═══"
docker run --rm -v "$PWD/wide:/w" alpine:3.21 sh -c 'echo x > /w/created.txt'
ls -ln wide/created.txt | awk '{print "  владелец нового файла: " $3 ":" $4 "  права: " $1}'

echo "═══ права каталога не наследуются файлом ═══"
stat -c '  каталог: %a   файл: %a' wide wide/created.txt

echo "═══ удалить его вы всё равно не можете... ═══"
rm -f wide/created.txt 2>&1 | sed 's/^/  /' || echo "  (удалилось: каталог доступен на запись всем)"

sudo rm -rf wide

═══ запись из container от root ═══
  владелец нового файла: 0:0  права: -rw-r--r--
═══ права каталога не наследуются файлом ═══
  каталог: 777   файл: 644
═══ удалить его вы всё равно не можете... ═══
  (удалилось: каталог доступен на запись всем)

cd /tmp && sudo rm -rf /tmp/uid-demo
docker rmi -f nonroot devimg > /dev/null 2>&1

echo "═══ режим демона ═══"
docker info --format 'Rootless: {{.SecurityOptions}}' | grep -o 'rootless' || echo "обычный (rootful) режим"

═══ режим демона ═══
обычный (rootful) режим

mkdir -p /tmp/perm-check
docker run --rm -v /tmp/perm-check:/d alpine:3.21 touch /d/root-file
docker run --rm --user "$(id -u):$(id -g)" -v /tmp/perm-check:/d alpine:3.21 touch /d/user-file
ls -ln /tmp/perm-check
sudo rm -rf /tmp/perm-check