Tại sao việc thiết lập Non-root User trong Dockerfile lại là một tiêu chuẩn bảo mật bắt buộc trong môi trường Enterprise, và làm thế nào để cấu hình quyền truy cập tệp đúng cách khi không chạy dưới quyền root?

Question

Accepted Answer

Rủi ro bảo mật khi chạy dưới quyền Root
Mặc định, các tiến trình chạy bên trong một Docker container sẽ thực thi dưới quyền root (UID 0) nếu không được cấu hình khác đi. Nếu ứng dụng có lỗ hổng bảo mật (như Remote Code Execution), kẻ tấn công có thể chiếm quyền kiểm soát toàn bộ container. Hơn nữa, vì container chia sẻ kernel với máy chủ vật lý (Docker Host), việc thoát container (container escape) dưới quyền root sẽ tạo ra rủi ro cực kỳ nguy hiểm cho toàn bộ hệ thống hạ tầng.
Cách cấu hình Non-root User trong Dockerfile
Để tuân thủ tiêu chuẩn bảo mật Enterprise, chúng ta cần tạo một user và group riêng biệt, sau đó chuyển sang user đó trước khi khởi chạy ứng dụng:
FROM node:18-alpine

# Tạo một system group và system user
RUN addgroup -S appgroup && adduser -S appuser -G appgroup

WORKDIR /app

# Sao chép tệp package và phân quyền sở hữu cho appuser
COPY --chown=appuser:appgroup package*.json ./
RUN npm ci --only=production

# Sao chép mã nguồn ứng dụng và phân quyền
COPY --chown=appuser:appgroup . .

# Chuyển đổi sang non-root user
USER appuser

EXPOSE 3000
CMD ["node", "server.js"]
Phân tích chuyên sâu

Cờ --chown trong lệnh COPY: Rất quan trọng khi sao chép tệp vào container. Nếu không sử dụng cờ này, các tệp được sao chép sẽ mặc định thuộc quyền sở hữu của root, khiến non-root user không thể đọc hoặc ghi dữ liệu.
Quyền hạn hệ thống tập tin: Ứng dụng chạy với appuser sẽ bị giới hạn quyền ghi. Nếu ứng dụng cần ghi tệp vào thư mục nào đó (như thư mục logs hoặc upload), chúng ta phải cấp quyền cụ thể hoặc gắn kết một Docker Volume.

Kinh nghiệm thực chiến cho cấp độ Middle
Khi làm việc với các hệ thống CI/CD quét bảo mật tự động (như Trivy hoặc Snyk), việc để container chạy dưới quyền root sẽ lập tức kích hoạt cảnh báo lỗi nghiêm trọng (Critical Vulnerability). Do đó, cấu hình Non-root User là bước kiểm tra bắt buộc trước khi đưa mã lên môi trường sản xuất.

Tại sao việc thiết lập Non-root User trong Dockerfile lại là một tiêu chuẩn bảo mật bắt buộc trong môi trường Enterprise, và làm thế nào để cấu hình quyền truy cập tệp đúng cách khi không chạy dưới quyền root?

Rủi ro bảo mật khi chạy dưới quyền Root

Khóa học DevOps & Docker Thực Chiến

Tải Tuyển Tập 100+ Câu Hỏi Phỏng Vấn Chuyên Sâu (PDF)

Cần Mentor Phỏng Vấn Thử 1-1 & Tối Ưu CV?

Kiểm Tra CV Chuẩn ATS Miễn Phí

Câu hỏi Docker liên quan cùng chủ đề