一个简单的解决方案

Question

作为我的构建管道的一部分，我有一个包含构建工具的容器，该容器用于多个项目。我的项目之一包含构建步骤，以构建和发布容器，该步骤是从build-tools容器内完成的。我的启用了docker的jenkins-slaves配置为具有用户jenkins，该用户属于组docker。我使用-v挂载docker二进制文件和scoket。可以通过以下任一方法来实现/复制：

在构建工具的Dockerfile中添加用户（jenkins）和组（docker），并将其设置为主机UID和GID
使用-u选项启动容器，提供UID和GUID（根据文档，容器中无需存在用户和组）。

第一个策略的问题是，在多台构建机器上，用户名和组ID不同。我可以通过将所有构建机器的UID和GID更改为相同的值来解决此问题，但是docker是否不是要在没有对环境/上下文有很多依赖性的情况下独立运行的？这感觉不适合我。第二种策略在命令行上可以很好地工作，但是，似乎没有办法将UID和GID传递给Jenkinsfile中的agent命令。 args参数不支持脚本或变量，例如$(id -u)。

我希望不是第一个遇到此问题的人，但是，我自己，搜索机器和堆栈溢出都无法找到解决方案。我应该选择“准备好的”构建奴隶，还是有办法使第二种策略起作用？

。

-编辑- 我了解以root身份运行容器并在启动后进行切换的选项（例如，使用入口点）。但是，这将需要我的Jenkins奴隶以root身份连接，这对我来说是不可接受的。另一个找到的替代方法是所有资源的chmod777，这完全不保证不以root用户身份运行Jenkins从属服务器的安全性。我希望对容器使用-u选项，但是在从Jenkinsfile内部启动docker agent（docker run命令）之前，我找不到在jenkins从属服务器上确定UID和GID的方法。 / p>

Answer 1

一个简单的解决方案

实际上，我相信使用docker即可轻松实现您的第一个解决方案构想，而无需以root用户身份运行任何Jenkins从站。

考虑此命令：

<project xmlns="http://maven.apache.org/POM/4.0.0" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
         xsi:schemaLocation="http://maven.apache.org/POM/4.0.0 http://maven.apache.org/maven-v4_0_0.xsd">
    <modelVersion>4.0.0</modelVersion>
    <groupId>helloworld</groupId>
    <artifactId>HelloWorld</artifactId>
    <version>1.0</version>
    <packaging>jar</packaging>
    <name>A sample Hello World created for SAM CLI.</name>
    <properties>
        <maven.compiler.source>1.8</maven.compiler.source>
        <maven.compiler.target>1.8</maven.compiler.target>
    </properties>

    <dependencyManagement>
        <dependencies>
            <!-- https://mvnrepository.com/artifact/com.amazonaws/aws-java-sdk-bom -->
            <dependency>
                <groupId>com.amazonaws</groupId>
                <artifactId>aws-java-sdk-bom</artifactId>
                <version>1.11.651</version>
                <type>pom</type>
                <scope>import</scope>
            </dependency>
        </dependencies>
    </dependencyManagement>

    <dependencies>
        <dependency>
            <groupId>com.amazonaws</groupId>
            <artifactId>aws-lambda-java-core</artifactId>
            <version>1.2.0</version>
        </dependency>
        <dependency>
            <groupId>junit</groupId>
            <artifactId>junit</artifactId>
            <version>4.12</version>
            <scope>test</scope>
        </dependency>
        <dependency>
            <!-- jsoup HTML parser library @ https://jsoup.org/ -->
            <groupId>org.jsoup</groupId>
            <artifactId>jsoup</artifactId>
            <version>1.12.1</version>
        </dependency>
        <!-- https://mvnrepository.com/artifact/com.amazonaws/aws-lambda-java-events -->
        <dependency>
            <groupId>com.amazonaws</groupId>
            <artifactId>aws-lambda-java-events</artifactId>
            <version>2.2.7</version>
        </dependency>
        <!-- https://mvnrepository.com/artifact/com.amazonaws/aws-java-sdk -->
        <dependency>
            <groupId>com.amazonaws</groupId>
            <artifactId>aws-java-sdk</artifactId>
            <version>1.11.659</version>
        </dependency>

        <!-- https://mvnrepository.com/artifact/software.amazon.awssdk/sdk-core -->
        <dependency>
            <groupId>com.amazonaws</groupId>
            <artifactId>aws-java-sdk-core</artifactId>
            <!--<version>1.11.651</version>-->
        </dependency>
        <dependency>
            <groupId>com.amazonaws</groupId>
            <artifactId>aws-java-sdk-dynamodb</artifactId>
            <!--<version>1.11.651</version>-->
        </dependency>
        <!-- https://mvnrepository.com/artifact/com.google.code.gson/gson -->
        <dependency>
            <groupId>com.google.code.gson</groupId>
            <artifactId>gson</artifactId>
            <version>2.8.6</version>
        </dependency>
        <!-- https://mvnrepository.com/artifact/com.amazonaws/aws-java-sdk-s3 -->
        <dependency>
            <groupId>com.amazonaws</groupId>
            <artifactId>aws-java-sdk-s3</artifactId>
            <!--<version>1.11.651</version>-->
        </dependency>

        <dependency>
            <groupId>org.freemarker</groupId>
            <artifactId>freemarker</artifactId>
            <version>2.3.29</version>
        </dependency>

        <!-- https://mvnrepository.com/artifact/commons-io/commons-io -->
        <dependency>
            <groupId>commons-io</groupId>
            <artifactId>commons-io</artifactId>
            <version>2.6</version>
        </dependency>


    </dependencies>

    <build>
        <plugins>
            <plugin>
                <groupId>org.apache.maven.plugins</groupId>
                <artifactId>maven-shade-plugin</artifactId>
                <version>3.1.1</version>
                <configuration>
                </configuration>
                <executions>
                    <execution>
                        <phase>package</phase>
                        <goals>
                            <goal>shade</goal>
                        </goals>
                    </execution>
                </executions>
            </plugin>
        </plugins>
    </build>
</project>

这将创建一个新容器，并将用户从主机映射到该容器中。然后，将其立即放到用户<div class="row featured portfolio-items"> <div class="item col-lg-5 col-md-12 col-xs-12 landscapes sale pr-0 pb-0">中，该用户（仅）需要在外部系统上定义。

无论您是以docker run --rm -it -v /etc/passwd:/etc/passwd:ro -v /etc/shadow:/etc/shadow:ro -v /etc/group:/etc/group:ro debian:10 /bin/su linux-fan -c /bin/bash身份运行此命令还是以linux-fan组中的任何用户身份运行都无济于事（请注意，关于root组= root访问权限的注释非常正确！）

此外，以这种方式在容器内部进行映射（已经使用docker socket进行了映射...）确实放弃了容器提供的大多数隔离。因此，考虑运行需要访问主机的Docker守护程序以直接在主机上或在隔离程度较低的环境（例如docker中运行）的命令是明智的吗？当然，调用Docker的简单性可能仍然比这里缺乏隔离性要重要。

替代解决方案

没有主机访问权限的解决方案可以轻松解决以下问题：使用docker-in-docker，即在构建容器内运行新的docker守护进程而不是访问主机，将它们彼此隔离，以便主机的用户ID和组ID没关系。

Answer 2

我们成功使用以下解决方案超过6个月：

在docker中运行docker：从容器而不是从主机使用docker命令，以避免在必须挂载一半主机系统的情况下发生依赖地狱。
确保您的bulid容器内的默认用户可以运行docker（将 jenkins 用户添加到 docker 组）
只需将 docker.sock 装入所有人的权限即可：-v /var/run/docker.sock:/var/run/docker.sock:rw

在非root用户作为Jenkinsfile代理的情况下，在Docker容器中使用docker命令（以托管）

2 个答案:

一个简单的解决方案

替代解决方案