第8章 付録: Image Mode for RHEL でのユーザー、グループ、SSH キー、シークレットの管理

パッケージ指向のシステムでは、次のコマンドにより、派生ビルドを使用してユーザーと認証情報を注入できます。

RUN useradd someuser

shadow-utils のデフォルトの useradd 実装に問題がある場合があります。ユーザーとグループの ID が動的に割り当てられることにより、ドリフトが発生する可能性があります。

永続的に /home /var/home に設定されたシステムの場合、最初のインストール後にコンテナーイメージで行われた /var への変更は、その後の更新には適用されません。

たとえば、コンテナービルドに /var/home/someuser/.ssh/authorized_keys を注入した場合、既存のシステムは更新された authorized_keys ファイルを取得しません。

システムユーザーの場合、可能な場合は systemd DynamicUser=yes オプションを使用します。

これは、潜在的な UID または GID のドリフトを回避できるため、パッケージのインストール時にユーザーまたはグループを割り当てるパターンよりもはるかに優れています。

たとえば、派生ビルドでは systemd-sysusers を使用します。詳細は、systemd-sysusers のドキュメントを参照してください。

COPY mycustom-user.conf /usr/lib/sysusers.d

sysusers ツールは、必要に応じて起動時に従来の /etc/passwd ファイルに変更を加えます。/etc が永続的であれば、UID または GID のドリフトを回避できます。つまり、UID または GID の割り当ては、特定のマシンがどのようにアップグレードされてきたかによって異なります。

nss-altfiles を使用すると、systemd の JSON ユーザーレコードを削除できます。これは、システムユーザーを /usr/lib/passwd と /usr/lib/group に分割します。OSTree プロジェクトが /etc/passwd に関連する /etc の 3 方向マージを処理する方法と整合します。現在、ローカルシステムで /etc/passwd ファイルが何らかの方法で変更された場合、その後コンテナーイメージの /etc/passwd に対して行われた変更は適用されません。

rpm-ostree によってビルドされたベースイメージでは、nns-altfiles がデフォルトで有効になっています。

また、ベースイメージには、UID または GID のドリフトを回避するために、NSS ファイルによって事前に割り当てられ、管理されるシステムユーザーがあります。

派生コンテナービルドでは、たとえば /usr/lib/passwd にユーザーを追加することもできます。sysusers.d または DynamicUser=yes を使用します。

ファイルシステムのレイアウトは、ベースイメージによって異なります。

デフォルトでは、ユーザーデータはベースイメージに応じて、/etc、/etc/passwd、/etc/shadow および groups と、/home との両方に保存されます。ただし、いずれの汎用ベースイメージもマシンローカルな永続状態である必要があります。このモデルでは、/home は /var/home/user へのシンボリックリンクです。

/etc と /var がデフォルトで永続化するように設定されたベースイメージの場合、Anaconda やキックスタートなどのインストーラーを使用してユーザーを注入できます。

通常、汎用インストーラーは 1 回限りのブートストラップ用に設計されています。その後、設定はミュータブルなマシンローカル状態になり、他のメカニズムを使用して Day 2 操作で変更できるようになります。

Anaconda インストーラーを使用して初期パスワードを設定できます。ただし、この初期パスワードを変更するには、passwd などの別のシステム内ツールが必要です。

これらのフローは bootc-compatible システムでも同様に機能します。異なるシステム内ツールに変更する必要なく、ユーザーが汎用ベースイメージを直接インストールすることをサポートします。

多くのオペレーティングシステムのデプロイメントでは、永続的でミュータブルかつ実行可能な状態が最小限に抑えられます。これにより、ユーザーのホームディレクトリーが破損する可能性があります。

/home ディレクトリーを tmpfs として設定すると、再起動後にユーザーデータが確実に消去されます。このアプローチは、一時的な /etc ディレクトリーと組み合わせると特に効果的です。

たとえば、SSH authorized_keys やその他のファイルを注入するようにユーザーのホームディレクトリーをセットアップするには、systemd tmpfiles.d スニペットを使用します。

f~ /home/user/.ssh/authorized_keys 600 user user - <base64 encoded data>

SSH は、/usr/lib/tmpfiles.d/<username-keys.conf としてイメージ内に埋め込まれています。もう 1 つの例は、ネットワークからキーを取得して書き込むことができる、イメージに埋め込まれたサービスです。これは cloud-init で使用されるパターンです。