Limita o usuário a acessar apenas o 'docker inspecionar'?

Question

Existe uma maneira de dar acesso a um usuário (www-data para ser exato) para acessar APENAS 'inspeção docker'? Qualquer solução de trabalho é aceitável

    

Answer 1

Você pode definir isso com sudoers (comando visudo para edição):

www-data ALL=(ALL:ALL) NOPASSWD:/usr/bin/docker inspect *

O usuário de www-data terá acesso ao binário / usr / bin / docker com argumento inspecionar e outros argumentos para este comando. Este comando não requer senha. Se você não quiser esse comportamento remoto "NOPASSWD:".

Por exemplo:

User can successfully run sudo docker inspect {{container_name}}
User can successfully run sudo docker inspect --help
User can't successfully run sudo docker run {{container}}
User can't successfully run sudo docker inspect without arguments

    

Answer 2

O Docker não tem nenhuma granularidade de permissão de acesso, mas você pode escrever um cliente alternativo com bastante facilidade usando o Docker API para implementar apenas a parte que você precisa.

Esse cliente pode então ser setuid para um usuário com permissões para o soquete do Docker.