Dockerイメージ構築にあたってユーザー設定は必要なことですが、いくつかの勘違いが発覚しました。

TL; DR

Dockerコンテナとユーザー

何も考えずにDockerコンテナを構築すると、「動作ユーザーがroot」となってしまいます。もちろん動くといえば動くのですが、コンテナの中身を好き勝手に書き換え可能なのは好ましい状況ではありません。

ということで、Unix系のユーザーとファイルパーミッションを、Docker自体でも対応して設定可能です¹。

いちばんわかりやすいものとしては、USER ユーザー名のようにして、これ以降のコンテナ構築、そしてコンテナ実行時のユーザーを指定できます。

はじめ、DockerfileのUSERは、Unix系でよくある「権限放棄」パターンと同じで、一度root以外に切り替えたら戻せないと思っていました。

ところが、実際には自由に切り替えられる、つまり一度root以外を指定してからまたrootに戻れるものでした。必要な部分だけrootになってまた戻る、みたいな作業も自由自在だったのです。

上のような誤解をしたまま書いていたDockerfileで、USER userのように切り替えてからCOPYをかけたのですが、現在のユーザーでコピーが行われると想定していたところが、想定したように動かない事態に陥りました。

こちらは改めて調べてみればリファレンスにも明記してあったのですが、

新しいファイルやディレクトリは、オプションの --chown フラグでユーザ名、グループ名、UID/GID の組み合わせて追加対象の権限指定リクエストを指定しない限り、 UID と GID が 0 として作成されます。

ということで、COPYはUSERで設定したユーザーとは無関係に、作成したファイルやディレクトリへデフォルトでrootを設定していきます。

変えたい場合は「別途chownを実行する」までもなくCOPY --chown=userのような指定が可能です。

Windowsコンテナもありますが、そもそもUSERやchownといったUnix系の権限設定機能そのものがLinuxコンテナ専用なので、今回の議論対象には入りません。 ↩