用 docker 隔离不同用户

[cnt2ex]

服务器上多个用户，很多时候这些用户需要安装一些包，但我又不想直接给他们 root 权限，现在是打算给每个用户一个容器，然后容器里拥有 root 权限，让他们在容器里装自己需要的包。

有办法把用户限制在容器里，ssh 登录后直接进入自己的容器吗？

[silentx]

docker 直接 pull ubuntu 好了 先把 ssh start 起来 然后挂住

ip 用 docker 开 macvlan 每个 container 分配一个 ip 就好了

这样每个人都相当与有一台自己的 ubuntu 了 还都是 root

[CodeCodeStudy]

注意要限制资源的使用
--cpus
-m
--device-write-bps

我就碰到过没限制容器的 CPU 使用率，导致宿主机挂了的情况

[tomychen]

chroot

[yanqiyu]

建议使用 podman 之类的 rootless 容器，实现可以参考 Fedora 提供的 toolbox
特性
1 ）全程用户没有特权
2 ）在容器中表现为 root 权限，可以正常安装软件，配置开发环境
3 ） proc 、home 等分区会正常挂载，保证使用体验无缝，如果是带图形的话 dbus 以及 X socket 也会处理
--------
对于用户而言大家都不给 sudo，让他们使用 toolbox 进入自己的环境
--------
因为是 rootless 容器，哪怕被橄榄权限也不会超过用户本来的权限，不会对于系统造成破坏

[wendellyih]

@ETiV 这个方案可行，之前多个同事共享一台开发机时用的就是这个方案，现在都独立开发机了，就放飞自我了。

[solider245]

@CodeCodeStudy 容器内的系统再使用 docker 的话，是和新安装 docker 一样吗？

[CodeCodeStudy]

@solider245 没试过，应该装不了吧