コンテナ内の特権を削除する

Question

私のイメージの1つにデバイスのマウントが必要です。したがって、起動するときにはcap_sys_adminが必要です。しかし、もう必要がなくなればこの機能を無効にしたいと思っています。

後で機能を削除する方法はありますか？

Answer 1

コンテナに内部から行う必要はなく、ボリュームを使用することを検討する必要があります。

docker run --cap-add SYS_ADMIN ... 

をして、内部の実装を呼び出す：

：

mount -t nfs server:/some/path /local/path 

代わりに、あなたがそうのような 'ローカル' ドライバを使用してボリュームを作成することができる。例えば、代わりにやっての

docker volume create -d local -o type=nfs -o device=:/some/path -o o=addr=server,rw my_volume 

その後、コンテナを実行できるときに使用してください：

docker run -v my_volume:/local/path ... 

コンテナが起動すると、ホストはファイルシステムをコンテナで使用できるようにマウントを処理します。コンテナには機能を追加する必要はありません。