Какие права нужны HTTP-сервису

Наш сервер читает /app/app.py, принимает запросы на порту 8000 и пишет ответ в сокет. Ему не нужно изменять системные файлы или устанавливать программы после старта. Поэтому запуск с административными правами не следует из его задачи.

В Linux у процесса есть числовые идентификаторы пользователя и группы — UID и GID. UID 0 означает root. Посмотреть реального пользователя полезнее, чем довериться имени образа или комментарию «secure» в Dockerfile.

docker exec qa-api python -c "import os; print(os.getuid(), os.getgid())"

Минимальные права уменьшают возможности ошибочного или скомпрометированного приложения. Они не превращают контейнер в отдельную виртуальную машину и не заменяют остальные ограничения среды. Для этого урока измерим конкретное свойство: HTTP работает с ненулевым UID.

Инструкция USER определяет пользователя для следующих команд соответствующей стадии и для запуска приложения. В нашей Linux-лаборатории можно задать числовую пару 65532:65532; создавать именованную учётную запись через adduser для этого сервера не нужно.

FROM python:3.12-alpine
WORKDIR /app
COPY app.py .
USER 65532:65532
CMD ["python", "app.py"]

Чтение файла не требует владеть им. Если файл принадлежит root, но доступен другим пользователям для чтения, сервер сможет его загрузить. Запись в этот же файл может быть запрещена — для кода приложения это ожидаемое ограничение.

Не переносите USER в начало Dockerfile без анализа следующих инструкций. Подготовка каталогов может требовать прав сборки. Сначала создайте нужную структуру, затем задайте пользователя запуска; если приложению действительно нужна запись, выдавайте доступ к конкретному каталогу данных.

Подробнее: USER в документации Docker.

После смены пользователя приложение пишет PermissionError. Найдите в traceback точный путь и операцию: открыть исходник для чтения, создать файл журнала или записать базу данных — разные случаи. Затем сравните владельца и права этого пути с UID процесса.

docker exec qa-api python -c "import os; print(os.getuid()); print(oct(os.stat('/app/app.py').st_mode & 0o777))"

Команда chmod 777 на весь проект снимает слишком много ограничений и скрывает причину. Для нашего сервера запись в /app вообще не нужна: журнал запросов идёт в стандартный поток, ответ формируется в памяти. Сохраните такую простую модель вместо добавления лишних разрешений.

На проверке не ограничивайтесь чтением Dockerfile: пользователь может быть переопределён при запуске. В следующей лаборатории оценивается и настройка образа, и фактический UID процесса в работающем контейнере.