实验目的：系统用户映射到docker容器里，使其不再使用root权限
第一步，修改daemon.json，添加userns-remap如下：
如果你想指定特定用户可以把default修改为系统用户，如果为default就代表用户分配的权利交给default自动完成
{ "registry-mirrors":["https://registry.docker-cn.com","https://l10nt4hq.mirror.aliyuncs.com"], "userns-remap": "default" }
第二步，使其生效
systemctl daemon-reload && systemctl restart docker
第三步，查看验证,可以看到在我们添加daemon.json之后，系统自动创建出dockremap这个用户，uid:100000,gid:65536，
[root@VM-0-15-centos ~]# cat /etc/subuid dockremap:100000:65536 [root@VM-0-15-centos ~]# cat /etc/subgid dockremap:100000:65536
第四步，查看/var/lib/docker下生成的文件,可以看到生成了100000.100000这个目录，这个目录，这个目录就是存储我们用户信息的
[root@VM-0-15-centos ~]# ls -ltr /var/lib/docker/ total 48 drwx------ 4 root root 4096 Dec 9 14:28 plugins drwx------ 3 root root 4096 Dec 9 14:28 image drwx------ 2 root root 4096 Dec 9 14:28 trust drwxr-x--- 3 root root 4096 Dec 9 14:28 network drwx------ 2 root root 4096 Dec 9 14:28 swarm drwx--x--x 4 root root 4096 Dec 9 14:28 buildkit drwx------ 2 root root 4096 Dec 9 14:41 runtimes drwx------ 2 root root 4096 Dec 9 14:41 volumes drwx------ 2 root root 4096 Dec 9 14:48 tmp drwx------ 7 root root 4096 Dec 9 14:50 overlay2 drwx------ 3 root root 4096 Dec 9 14:50 containers drwx------ 13 100000 100000 4096 Dec 9 16:41 100000.100000
第五步，修改内核参数max_user_namespaces，默认这个参数的值为0，是不允许用用户名称空间的，现在我们给他开启起来，具体设置多少值酌情,当然我们也可以写入到sysctl.conf文件中
[root@VM-0-15-centos 100000.100000]# sysctl -w user.max_user_namespaces=10000 user.max_user_namespaces = 10000
第六步，启动一个容器，卷映射为宿主机的/data/目录映射到容器的/data目录
[root@VM-0-15-centos 100000.100000]# docker run -d -v /data/:/data centos:centos7.6.1810 sleep 2222 Unable to find image 'centos:centos7.6.1810' locally centos7.6.1810: Pulling from library/centos ac9208207ada: Pull complete Digest: sha256:62d9e1c2daa91166139b51577fe4f4f6b4cc41a3a2c7fc36bd895e2a17a3e4e6 Status: Downloaded newer image for centos:centos7.6.1810 f4c09761d8d140afcd04694c3778005b2d309d6ff5df3872872b9984728a66a9 [root@VM-0-15-centos 100000.100000]# [root@VM-0-15-centos 100000.100000]# [root@VM-0-15-centos 100000.100000]# docker ps CONTAINER ID IMAGE COMMAND CREATED STATUS PORTS NAMES f4c09761d8d1 centos:centos7.6.1810 "sleep 2222" 5 seconds ago Up 3 seconds vigorous_neumann
第七步，连接到容器创建一个文件会发现权限不足
第八步，修改宿主机的/data目录权限
第九步，接着在容器中创建文件,可以发现，不再报错，然后在看一下文件的属主和属组,你会发现是root
第十步，接着让我看看宿主机这个文件的属主和属组,可以看到，这个文件只是一个普通用户的文件
