Docker non-rootガイド｜Rootlessモードとコンテナ内ユーザー制御の全手法

# 前提パッケージのインストール
sudo apt-get install -y uidmap dbus-user-session

# rootful Dockerが動作中なら停止
sudo systemctl disable --now docker.service docker.socket

# /etc/subuid と /etc/subgid にサブUID/GIDが設定されていることを確認
# 最低65,536個の範囲が必要
grep $(whoami) /etc/subuid
# 出力例: testuser:100000:65536

# Rootlessモードのセットアップスクリプトを実行
dockerd-rootless-setuptool.sh install

# 環境変数を永続化（~/.bashrc に追記）
echo 'export PATH=/usr/bin:$PATH' >> ~/.bashrc
echo 'export DOCKER_HOST=unix:///run/user/$(id -u)/docker.sock' >> ~/.bashrc
source ~/.bashrc

# ログイン維持を有効化（再起動後もデーモンを自動起動するため）
sudo loginctl enable-linger $(whoami)

# 動作確認
docker info --format '{{.SecurityOptions}}'
# 出力に "rootless" が含まれていれば成功

# DOCKER_HOSTが設定されているか確認
echo $DOCKER_HOST
# unix:///run/user/1000/docker.sock のように表示される

# 通常通りComposeを利用
docker compose up -d

FROM ubuntu:24.04

# rootの状態で必要なパッケージをインストール
RUN apt-get update && apt-get install -y --no-install-recommends \
    curl \
    && rm -rf /var/lib/apt/lists/*

# 非rootユーザーとグループを作成
RUN groupadd --gid 1001 appgroup \
    && useradd --uid 1001 --gid appgroup --shell /bin/bash --create-home appuser

# アプリケーションディレクトリの準備
WORKDIR /app
COPY --chown=appuser:appgroup . .

# 非rootユーザーに切り替え
USER appuser

CMD ["./start.sh"]

FROM alpine:3.21
RUN addgroup -g 1001 appgroup \
    && adduser -u 1001 -G appgroup -D -h /home/appuser appuser
WORKDIR /app
COPY --chown=appuser:appgroup . .
USER appuser
CMD ["./app"]

FROM python:3.13-slim
RUN groupadd --gid 1001 appgroup \
    && useradd --uid 1001 --gid appgroup --create-home appuser
WORKDIR /app
COPY --chown=appuser:appgroup requirements.txt .
RUN pip install --no-cache-dir -r requirements.txt
COPY --chown=appuser:appgroup . .
USER appuser
EXPOSE 8000
CMD ["gunicorn", "app:app", "--bind", "0.0.0.0:8000"]

FROM node:20-slim AS build
WORKDIR /app
COPY package*.json ./
RUN npm ci --only=production

FROM node:20-slim
RUN groupadd --gid 1001 appgroup \
    && useradd --uid 1001 --gid appgroup --shell /bin/bash --create-home appuser
WORKDIR /app
COPY --from=build --chown=appuser:appgroup /app/node_modules ./node_modules
COPY --chown=appuser:appgroup . .
ENV HOME=/home/appuser
USER appuser
EXPOSE 3000
CMD ["node", "server.js"]

# NG: 所有者がrootのままになる
COPY . /app

# OK: 所有者を非rootユーザーに変更
COPY --chown=appuser:appgroup . /app

# UID:GIDを数値で指定
docker run --user 1001:1001 nginx:latest

# ユーザー名で指定（コンテナ内の/etc/passwdにエントリが必要）
docker run --user appuser myapp:latest

# 現在のホストユーザーのUID/GIDで実行
docker run --user "$(id -u):$(id -g)" myapp:latest

services:
  app:
    image: myapp:latest
    user: "1001:1001"
    volumes:
      - app-data:/app/data

  nginx:
    image: nginx:latest
    user: "1001:1001"
    ports:
      - "8080:8080"
    volumes:
      - ./nginx.conf:/etc/nginx/nginx.conf:ro

volumes:
  app-data:

apiVersion: v1
kind: Pod
metadata:
  name: secure-app
spec:
  securityContext:
    runAsNonRoot: true
    runAsUser: 1001
    fsGroup: 1001
  containers:
    - name: app
      image: myapp:latest
      securityContext:
        allowPrivilegeEscalation: false
        capabilities:
          drop: ["ALL"]
        readOnlyRootFilesystem: true

apiVersion: v1
kind: Namespace
metadata:
  name: production
  labels:
    pod-security.kubernetes.io/enforce: restricted
    pod-security.kubernetes.io/warn: restricted

Permission denied: '/app/logs/app.log'

RUN mkdir -p /app/logs /app/tmp \
    && chown -R appuser:appgroup /app/logs /app/tmp
USER appuser

# Nginxの場合、設定で8080番ポートを使う
EXPOSE 8080

docker run --cap-add=NET_BIND_SERVICE --user 1001:1001 myapp:latest

# ホスト側でディレクトリの所有権を調整
sudo chown -R 1001:1001 ./data

# コンテナ側のUIDと合わせてマウント
docker run --user 1001:1001 -v ./data:/app/data myapp:latest

# 正しい順序: root状態でパッケージをインストールしてからユーザーを切り替える
FROM ubuntu:24.04
RUN apt-get update && apt-get install -y --no-install-recommends \
    ca-certificates \
    && rm -rf /var/lib/apt/lists/*

RUN groupadd --gid 1001 appgroup \
    && useradd --uid 1001 --gid appgroup --create-home appuser

USER appuser
# これ以降はapt-getを実行できない

# コンテナ内の実行ユーザーを確認
docker run --rm myapp:latest whoami
# appuser と表示されれば成功

# UID/GIDの詳細を確認
docker run --rm myapp:latest id
# uid=1001(appuser) gid=1001(appgroup) groups=1001(appgroup)

# rootでないことを確認
docker run --rm myapp:latest sh -c 'if [ "$(id -u)" -eq 0 ]; then echo "FAIL: running as root"; else echo "OK: running as non-root (UID=$(id -u))"; fi'

# コンテナのcapabilityを確認
docker run --rm --cap-drop=ALL myapp:latest cat /proc/1/status | grep Cap

# Dockerの全体セキュリティ設定を確認（Rootlessモードの場合）
docker info --format '{{.SecurityOptions}}'
# [name=seccomp,profile=builtin name=rootless] のように表示される

# Pod内のユーザーを確認
kubectl exec secure-app -- id
# uid=1001 gid=1001 groups=1001

# rootで起動しようとして拒否されることを確認
kubectl run test-root --image=nginx:latest --restart=Never \
  --overrides='{"spec":{"securityContext":{"runAsNonRoot":true}}}'
# Error: container has runAsNonRoot and image will run as root

docker run --read-only --tmpfs /tmp --tmpfs /var/run \
    --user 1001:1001 myapp:latest

# docker-compose.ymlでcapabilityをすべてドロップ
services:
  app:
    image: myapp:latest
    user: "1001:1001"
    cap_drop:
      - ALL
    security_opt:
      - no-new-privileges:true
    read_only: true
    tmpfs:
      - /tmp

# カスタムseccompプロファイルを適用
docker run --security-opt seccomp=custom-profile.json \
    --user 1001:1001 myapp:latest

FROM python:3.13-slim AS build
WORKDIR /app
COPY requirements.txt .
RUN pip install --no-cache-dir --prefix=/install -r requirements.txt

FROM python:3.13-slim
# セキュリティアップデートを適用
RUN apt-get update && apt-get upgrade -y \
    && rm -rf /var/lib/apt/lists/*

# 非rootユーザー作成
RUN groupadd --gid 1001 appgroup \
    && useradd --uid 1001 --gid appgroup --create-home appuser

# アプリケーションファイルの配置
WORKDIR /app
COPY --from=build --chown=appuser:appgroup /install /usr/local
COPY --chown=appuser:appgroup . .

# 書き込み可能ディレクトリの準備
RUN mkdir -p /app/logs && chown appuser:appgroup /app/logs

ENV HOME=/home/appuser
USER appuser
EXPOSE 8000
CMD ["gunicorn", "app:app", "--bind", "0.0.0.0:8000"]