在沒有sudo的情況下運行docker命令的子集

Question

目前，如果您將用戶添加到docker組中，則可以不使用sudo運行所有docker命令。但是，我只想讓用戶運行一部分docker命令（即只讀命令，如inspect,ps,stats,images等）。

有沒有辦法創建一個行爲相似的第二組？

目前，我正在使用sudoers文件來限制用戶上述命令。但用戶仍然需要鍵入sudo。

泊塢在CentOS 7.

Answer 1

要限制用戶僅具有一個有限組的命令的訪問，既可以使用一個Authorization plugin（代碼的實例可在GitHub上的https://github.com/docker/go-plugins-helpers儲存庫中找到版本1.12.1，以及更完整的示例here），或者使用防止訪問您不希望用戶有權訪問的API端點的代理服務器。

請記住，docker run（即使沒有--privileged）也允許訪問主機的文件系統。