Docker run 特权模式

在 Docker 中，运行容器时可以通过 docker run 命令来指定容器的特权模式。特权模式是指容器是否具有与宿主机相同的 root 权限，即是否可以执行一些仅限于 root 用户才能执行的操作。本文将介绍 Docker run 特权模式的概念、用途以及如何在容器中启用特权模式。

特权模式的概念

在默认情况下，Docker 容器是以非特权模式运行的，也就是容器内部的进程不具备与宿主机相同的 root 权限。这是为了增加容器的安全性，避免容器中的恶意进程对宿主机造成危害。非特权模式下，容器中的进程无法执行一些需要 root 权限的操作，例如修改宿主机上的系统配置、挂载宿主机的设备等。

而特权模式允许容器内的进程具有与宿主机相同的 root 权限，从而能够执行更多的操作。需要注意的是，启用特权模式可能导致容器内的进程能够对宿主机进行一些潜在危险的操作，因此需要慎重使用。

特权模式的用途

启用特权模式的容器可以有一些特殊的用途，例如：

  1. 访问宿主机上的设备：特权容器可以使用 --device 参数来挂载宿主机上的设备，例如 /dev/sda。这在需要直接访问硬件设备或驱动程序的场景下非常有用。

  2. 修改宿主机的系统配置：特权容器可以修改宿主机上的系统配置文件，例如 /etc 目录下的文件。这使得容器可以对宿主机的环境进行一些定制化的修改。

  3. 执行一些需要 root 权限的操作：特权容器可以执行一些需要 root 权限的操作，例如修改宿主机上的网络配置、修改文件系统权限等。

启用特权模式的方法

要启用特权模式，可以使用 --privileged 参数来运行容器。例如，下面的命令将以特权模式运行一个 Ubuntu 容器：

docker run --privileged -it ubuntu /bin/bash

在上述命令中，--privileged 参数告诉 Docker 启用特权模式，-it 参数表示以交互模式运行容器，ubuntu 是使用的镜像名称，/bin/bash 是容器启动的命令。

启用特权模式后，容器内的进程将具有与宿主机相同的 root 权限，并且可以执行一些需要 root 权限的操作。

特权模式的示例

下面通过一个示例来演示特权模式的使用。

假设我们有一个需要访问宿主机上的 USB 设备的应用程序。在非特权模式下，容器无法直接访问 USB 设备。但是，通过启用特权模式，我们可以在容器中访问 USB 设备。

首先，我们需要准备一个包含 USB 设备访问功能的示例应用程序。以下是一个简单的 Python 脚本，可以读取并打印 USB 设备的信息：

import usb.core

# Find USB device
dev = usb.core.find()

# Print device information
print(dev)

接下来，我们创建一个 Dockerfile 来构建镜像。以下是 Dockerfile 的内容：

FROM python:3

RUN pip install pyusb

COPY script.py /script.py

CMD ["python", "/script.py"]

在 Dockerfile 中，我们使用了官方的 Python 3 镜像，并安装了 pyusb 包。然后，将之前的示例脚本 script.py 复制到容器中，并通过 CMD 指令来运行脚本。

现在，我们可以使用以下命令来构建并运行容器：

docker build -t usb-app .
docker run --privileged -it usb-app