Cấp quyền cho người dùng không phải root để sử dụng một cổng

Tôi lưu trữ một máy chủ phòng thí nghiệm nơi tôi là người chủ (và là người dùng thông thường).

Tên miền là example.org và tôi cung cấp cho mỗi thành viên một tên miền phụ, ví dụ như bob.example.org cho Bob và anna.example.org cho người dùng Anna. Tôi nghĩ rằng bạn có được thỏa thuận. :) Các tên miền phụ được đảo ngược proxy bằng cách sử dụng nginx tới một cổng cụ thể.

Câu hỏi của tôi là, có cách nào để tôi có thể cấp quyền cho người dùng không phải root bắt đầu bộ chứa docker trên phạm vi cổng cụ thể của họ không. Ví dụ: Anna được cung cấp phạm vi 1300-1350 trong đó cổng 1300 được liên kết với anna.example.org và các cổng khác được đặt trước.

Hệ thống chạy Debian 11 Bullseye và phiên bản Docker mới nhất.

AFAIK Linux chỉ có khái niệm cổng đặc quyền so với cổng không có đặc quyền.

Tham số điều chỉnh nhân Linux net.ipv4.ip_unprivileged_port_start xác định cổng nào được đặc quyền. Tất cả các cổng từ 0 đến net.ipv4.ip_unprivileged_port_start được ưu đãi.

Các cổng đặc quyền chỉ có thể được sử dụng bởi các quy trình được bắt đầu bởi người dùng root hoặc có quyền root hoặc bởi các quy trình được chỉ định khả năng CAP_NET_BIND_SERVICE với ví dụ sudo setcap cap_net_bind_service=ep /path/bin/application

Tất cả các cổng khác không có đặc quyền và có thể được sử dụng bởi bất kỳ người dùng nào, miễn là các cổng đó chưa được sử dụng.

Tôi không biết bất kỳ phương pháp thay thế nào để cho phép người dùng cụ thể sử dụng các cổng cụ thể.

Miễn là các cổng không có đặc quyền, người dùng không phải root có thể liên kết với bất kỳ cổng nào (trên 1024). Họ có thể khởi động các thùng chứa bằng:

docker run --expose 1300-1350 <tên hình ảnh>

Nó là lần đầu tiên đến trước được phục vụ. Nếu hai chương trình đang cố liên kết với cùng một cổng, chỉ chương trình đầu tiên liên kết sẽ thành công.

Đối với các cổng đặc quyền (dưới 1024), bạn cần có khả năng root hoặc CAP_NET_BIND_SERVICE. Nhìn thấy khả năng của con người để biết chi tiết.

Các tên miền phụ được đảo ngược proxy bằng cách sử dụng nginx tới một cổng cụ thể.

Bạn có thể ủy quyền tên miền phụ cho ổ cắm Unix.

    proxy_pass http://unix:/var/run/anna.sock:/;

Lặp lại nếu cần cho từng tên miền phụ và đặt quyền trên các ổ cắm Unix để chỉ những người dùng bạn muốn mới có thể nghe ở đó.

Cũng lưu ý rằng người dùng có thể chạy bộ chứa Docker có thể gắn kết /etc/passwd vào chúng và giành được quyền root, vì vậy chúng phải được bảo vệ chống lại một cách riêng biệt.

Chỉ muốn thêm một góc nhìn khác...chắc chắn còn nhiều việc phải làm! Nhưng thú vị...

Cân nhắc việc chạy một bộ điều phối vùng chứa, chẳng hạn như Kubernetes. Thủ tục thanh toán KIND (Kubernetes-in-Docker) để biết một cách thú vị để chạy cụm Kubernetes trên một nút duy nhất chỉ với Docker.

Sau đó, bạn có thể, ví dụ, làm điều gì đó như

• tạo một không gian tên cho mỗi người dùng, chẳng hạn như bob-ns và anna-ns.
• tạo một dịch vụ trong mỗi không gian tên, hiển thị các cổng được chỉ định
• cung cấp cho mỗi người dùng một vai trò điều đó cho phép họ tạo ra vỏ quả(nhóm các vùng chứa) trong không gian tên của chúng, do đó cho phép chúng chấp nhận lưu lượng truy cập từ dịch vụ trong không gian tên của họ.

Nếu bạn cấu trúc đúng vai trò, người dùng có thể được phép khởi chạy bất kỳ vùng chứa nào họ muốn trong không gian tên của họ, nhưng sẽ không được phép sửa đổi dịch vụ trong đó xác định các cổng tiếp xúc.

Điều này được đơn giản hóa vì lợi ích của không gian, nhưng những thứ nguyên thủy mà thứ gì đó như k8 cung cấp là tuyệt vời cho các hệ thống nhiều người thuê như thế này.