Oferiți utilizatorilor non-root permisiunea de a folosi un port

Găzduiesc un server de laborator unde sunt root (și un utilizator obișnuit).

Numele de domeniu este example.org și îi dau fiecărui membru un subdomeniu, de exemplu bob.example.org pentru Bob și anna.example.org pentru utilizatorul Anna. Cred că ai primit înțelegerea. :) Subdomeniile sunt inversate prin proxy folosind nginx către un anumit port.

Intrebarea mea este, există vreo modalitate prin care pot acorda permisiunea utilizatorilor care nu sunt root pentru a porni containerele docker pe gama lor specifică de porturi. De exemplu, Anna are intervalul 1300-1350, unde portul 1300 este legat la anna.example.org, iar celelalte sunt în rezervă.

Sistemul rulează Debian 11 Bullseye și cea mai recentă versiune Docker.

AFAIK Linux are doar conceptul de porturi privilegiate versus porturi neprivilegiate.

Parametrul de reglare a nucleului Linux net.ipv4.ip_unprivileged_port_start definește porturile care sunt privilegiate. Toate porturile între 0 și net.ipv4.ip_unprivileged_port_start sunt privilegiati.

Porturile privilegiate pot fi utilizate numai de procese fie pornite de utilizatorul root, fie cu privilegii root sau de procese cărora li se atribuie capacitatea CAP_NET_BIND_SERVICE cu de exemplu sudo setcap cap_net_bind_service=ep /path/bin/application

Toate celelalte porturi nu sunt privilegiate și pot fi folosite de orice utilizator, atâta timp cât porturile nu sunt deja utilizate.

Nu cunosc vreo metodă alternativă care să permită anumitor utilizatori să utilizeze anumite porturi.

Atâta timp cât porturile nu sunt privilegiate, utilizatorii non-root se pot lega la orice port (peste 1024). Pot începe containerele cu:

docker run --expose 1300-1350 <nume-imagine>

Este primul venit, primul servit. Dacă două programe încearcă să se lege la același port, doar primul care se leagă va reuși.

Pentru porturile privilegiate (mai puțin de 1024), aveți nevoie de capacitatea root sau CAP_NET_BIND_SERVICE. Vedea capacitățile omului pentru detalii.

Subdomeniile sunt inversate prin proxy folosind nginx către un anumit port.

Puteți proxy subdomeniile la socket-urile Unix.

    proxy_pass http://unix:/var/run/anna.sock:/;

Repetați după cum este necesar pentru fiecare subdomeniu și setați permisiunile pe socket-urile Unix, astfel încât numai utilizatorii doriti să poată asculta acolo.

De asemenea, rețineți că un utilizator care poate rula containere Docker se poate monta /etc/passwd în ele și să câștige rădăcină, astfel încât acestea trebuie protejate separat.

Am vrut doar să adaug o altă perspectivă... cu siguranță mai multă muncă! Dar interesant...

Luați în considerare rularea unui orchestrator de containere, precum Kubernetes. Verifică KIND (Kubernetes-in-Docker) pentru o modalitate interesantă de a rula un cluster Kubernetes pe un singur nod cu doar Docker.

Ai putea atunci, de exemplu, să faci ceva de genul

• creați un spațiu de nume pentru fiecare utilizator, cum ar fi bob-ns și ana-ns.
• creeaza o serviciu în fiecare spațiu de nume, expunând porturile specificate
• oferi fiecărui utilizator un rol care le permite să creeze păstăi(grupări de containere) în spațiul lor de nume, permițându-le astfel să accepte trafic din date serviciu în spațiul lor de nume.

Dacă structurați corect rolurile, utilizatorilor li se poate permite să lanseze orice containere doresc în spațiul lor de nume, dar nu li se va permite să modifice serviciu care defineşte porturile expuse.

Acest lucru este simplificat de dragul spațiului, dar primitivele pe care le oferă ceva de genul k8s sunt excelente pentru sistemele multi-chiriași ca acesta.