Làm thế nào để thiết lập cơ chế Non-Root User trong Dockerfile nhằm tuân thủ các tiêu chuẩn bảo mật container cấp độ Enterprise?

Question

Accepted Answer

Bản chất bảo mật Container
Theo mặc định, các tiến trình chạy bên trong Docker container sẽ thực thi với quyền root (UID 0). Nếu ứng dụng bị tấn công thông qua lỗ hổng RCE (Remote Code Execution), kẻ tấn công sẽ có toàn quyền kiểm soát root namespace bên trong container, từ đó dễ dàng tìm cách leo thang đặc quyền (privilege escalation) sang host hệ thống nếu container bị cấu hình sai.
Giải pháp và cách thực hiện
Tạo một system user và group riêng biệt, sau đó chuyển ngữ cảnh thực thi sang user đó trước khi khai báo lệnh CMD hoặc ENTRYPOINT.
Ví dụ minh họa trong Dockerfile
FROM node:18-alpine

# Tạo group và user hệ thống
RUN addgroup -S appgroup && adduser -S appuser -G appgroup

WORKDIR /app

COPY package*.json ./
RUN npm ci --only=production
COPY . .

# Phân quyền sở hữu thư mục ứng dụng cho non-root user
RUN chown -R appuser:appgroup /app

# Chuyển sang sử dụng non-root user
USER appuser

EXPOSE 3000
CMD ["node", "index.js"]
Lưu ý kinh nghiệm thực chiến

Việc phân quyền chown có thể làm tăng kích thước image nếu không được thực hiện cẩn thận trong cùng một lệnh layer.
Một số tiến trình yêu cầu binding các cổng dưới 1024 (như cổng 80 hoặc 443) sẽ gặp lỗi khi chạy dưới quyền non-root. Hãy sử dụng các cổng từ 1024 trở lên (ví dụ 3000, 8080) và đặt một Reverse Proxy (như Nginx) ở tầng ngoài để điều hướng traffic.

Làm thế nào để thiết lập cơ chế Non-Root User trong Dockerfile nhằm tuân thủ các tiêu chuẩn bảo mật container cấp độ Enterprise?

Bản chất bảo mật Container

Khóa học DevOps & Docker Thực Chiến

Tải Tuyển Tập 100+ Câu Hỏi Phỏng Vấn Chuyên Sâu (PDF)

Cần Mentor Phỏng Vấn Thử 1-1 & Tối Ưu CV?

Kiểm Tra CV Chuẩn ATS Miễn Phí

Câu hỏi docker liên quan cùng chủ đề