Trong Dockerfile, tại sao việc sử dụng USER thay vì chạy ứng dụng dưới quyền root lại là một yêu cầu bắt buộc trong môi trường Enterprise?

Question

Accepted Answer

Việc chạy container với quyền root mặc định tiềm ẩn rủi ro bảo mật nghiêm trọng. Nếu ứng dụng bị khai thác lỗ hổng (như Remote Code Execution), kẻ tấn công có thể chiếm quyền điều khiển toàn bộ container và thậm chí là host thông qua các kỹ thuật thoát container (container breakout). 
Giải pháp:
Sử dụng chỉ thị USER trong Dockerfile để chuyển đổi sang một user không có quyền quản trị (non-root user).
Ví dụ:
RUN groupadd -r appuser && useradd -r -g appuser appuser
USER appuser
CMD ["node", "server.js"]
Lưu ý thực chiến:

Luôn tạo user và group cụ thể.
Đảm bảo user này có đủ quyền đọc/ghi trên các thư mục cần thiết (như log hoặc upload) thông qua lệnh chown trong Dockerfile.

Trong Dockerfile, tại sao việc sử dụng USER thay vì chạy ứng dụng dưới quyền root lại là một yêu cầu bắt buộc trong môi trường Enterprise?

Khóa học DevOps & Docker Thực Chiến

Tải Tuyển Tập 100+ Câu Hỏi Phỏng Vấn Chuyên Sâu (PDF)

Cần Mentor Phỏng Vấn Thử 1-1 & Tối Ưu CV?

Kiểm Tra CV Chuẩn ATS Miễn Phí

Câu hỏi docker liên quan cùng chủ đề