17장. RHEL의 이미지 모드에서 사용자, 그룹, SSH 키 및 시크릿 관리

패키지 지향 시스템에서는 파생 빌드를 사용하여 다음 명령을 사용하여 사용자 및 인증 정보를 삽입할 수 있습니다.

RUN useradd someuser

useradd: 사용자 및 그룹 ID의 기본 shadow-utils 구현에서 문제를 찾을 수 있으며 이로 인해 드리프트가 발생할 수 있습니다.

영구 /home /var/home 으로 구성된 시스템의 경우 초기 설치 후 컨테이너 이미지에서 만든 /var 변경 사항은 후속 업데이트에 적용되지 않습니다.

예를 들어 /var/home/someuser/.ssh/authorized_keys 를 컨테이너 빌드에 삽입하면 기존 시스템에는 업데이트된 authorized_keys 파일이 제공되지 않습니다.

시스템 사용자에게 가능한 경우 systemd DynamicUser=yes 옵션을 사용합니다.

이는 잠재적인 UID 또는 GID 드리프트가 방지되므로 패키지 설치 시 사용자 또는 그룹을 할당하는 패턴보다 훨씬 우수합니다.

nss-altfiles 는 시스템 사용자를 /usr/lib/passwd 및 /usr/lib/group 으로 분할하여 OSTree 프로젝트가 /etc/passwd 와 관련하여 /etc 에 대해 병합하는 방법과 정렬합니다. 현재 /etc/passwd 파일이 로컬 시스템에서 어떤 방식으로든 수정되면 컨테이너 이미지의 /etc/passwd 에 대한 변경 사항이 적용되지 않습니다.

rpm-ostree 로 빌드된 기본 이미지에는 기본적으로 nss-altfiles 가 활성화되어 있습니다.

또한 기본 이미지에는 UID 또는 GID 드리프트를 방지하기 위해 NSS 파일에서 사전 할당 및 관리하는 시스템 사용자가 있습니다.

파생 컨테이너 빌드에서는 사용자를 /usr/lib/passwd 에 추가할 수도 있습니다. 예를 들면 다음과 같습니다. sysusers.d 또는 DynamicUser=yes 를 사용합니다.

예를 들어, 파생 빌드에서 systemd-sysusers를 사용합니다. 자세한 내용은 systemd -sysusers 설명서를 참조하십시오.

COPY mycustom-user.conf /usr/lib/sysusers.d

sysusers 툴은 부팅 시 필요에 따라 기존 /etc/passwd 파일을 변경합니다. /etc 가 영구적인 경우 UID 또는 GID 드리프트를 방지할 수 있습니다. 즉 UID 또는 GID 할당은 시간이 지남에 따라 특정 시스템을 업그레이드하는 방법에 따라 달라집니다.

파일 시스템 레이아웃은 기본 이미지에 따라 다릅니다.

기본적으로 사용자 데이터는 기본 이미지에 따라 /etc,/etc/passwd,/etc/shadow 및 groups, /home 모두에 저장됩니다. 그러나 일반 기본 이미지는 둘 다 machine-local 영구 상태여야 합니다. 이 모델에서 /home 은 / var/home/사용자에 대한 심볼릭 링크입니다.

/etc 및 /var 가 기본적으로 유지되도록 구성된 기본 이미지의 경우 Anaconda 또는 Kickstart와 같은 설치 프로그램을 사용하여 사용자를 삽입할 수 있습니다.

일반적으로 일반 설치 프로그램은 한 번만 부트스트랩하도록 설계되었습니다. 그런 다음 구성은 다른 메커니즘을 사용하여 Day 2 작업에서 변경할 수 있는 변경 가능한 머신 로컬 상태가 됩니다.

Anaconda 설치 프로그램을 사용하여 초기 암호를 설정할 수 있습니다. 그러나 이 초기 암호를 변경하려면 passwd 와 같은 다른 시스템 내 툴이 필요합니다.

이러한 흐름은 다양한 시스템 내 툴을 변경할 필요 없이 일반 기본 이미지를 직접 설치할 수 있도록 bootc 호환 시스템에서도 동일하게 작동합니다.

많은 운영 체제 배포로 영구, 변경 가능 및 실행 가능한 상태가 최소화됩니다. 이로 인해 사용자 홈 디렉터리가 손상될 수 있습니다.

/home 디렉토리는 재부팅 시 사용자 데이터가 지워지도록 tmpfs 로 설정할 수 있습니다. 이 접근 방식은 일시적인 /etc 디렉토리와 결합되는 경우 특히 잘 작동합니다.

예를 들어 SSH authorized_keys 또는 기타 파일을 삽입하도록 사용자의 홈 디렉터리를 구성하려면 systemd tmpfiles.d 스니펫을 사용합니다.

f~ /home/user/.ssh/authorized_keys 600 user user - <base64 encoded data>

SSH는 / usr/lib/tmpfiles.d/<username-keys.conf 로 이미지에 포함됩니다. 또 다른 예로는 네트워크에서 키를 가져와 쓸 수 있는 이미지에 포함된 서비스가 있습니다. 이는 cloud-init 에서 사용하는 패턴입니다.