Разрешить пользователям без полномочий root использовать один порт

У меня есть лабораторный сервер, на котором я являюсь пользователем root (и обычным пользователем).

Доменное имя — example.org, и я даю каждому участнику поддомен, например, bob.example.org для Боба и anna.example.org для пользователя Анны. Я думаю, вы получите сделку. :) Субдомены обратно проксируются с помощью nginx на определенный порт.

мой вопрос, есть ли способ, которым я могу дать разрешение пользователям без полномочий root запускать док-контейнеры в их определенном диапазоне портов. Например, Анне дан диапазон 1300-1350, где порт 1300 привязан к anna.example.org, а остальные находятся в резерве.

В системе работает Debian 11 Bullseye и последняя версия Docker.

AFAIK Linux имеет только концепцию привилегированных портов по сравнению с непривилегированными портами.

Параметр настройки ядра Linux net.ipv4.ip_uncitationd_port_start определяет, какие порты являются привилегированными. Все порты от 0 до net.ipv4.ip_непривилегированный_порт_старт являются привилегированными.

Привилегированные порты могут использоваться только процессами, запущенными либо пользователем root, либо с привилегиями root, либо процессами, которым назначены способность CAP_NET_BIND_SERVICE с например sudo setcap cap_net_bind_service=ep/path/bin/application

Все остальные порты являются непривилегированными и могут использоваться любым пользователем, если они еще не используются.

Я не знаю какого-либо альтернативного метода, позволяющего определенным пользователям использовать определенные порты.

Пока порты непривилегированные, пользователи без полномочий root могут подключаться к любому порту (более 1024). Они могут запускать контейнеры с помощью:

docker run --expose 1300-1350 <image-name>

Это в порядке живой очереди. Если две программы пытаются выполнить привязку к одному и тому же порту, только первая из них сможет выполнить привязку.

Для привилегированных портов (менее 1024) вам нужны права root или CAP_NET_BIND_SERVICE. Видеть способности человека для деталей.

Субдомены проксируются с помощью nginx на определенный порт.

Вы можете проксировать поддомены на сокеты Unix.

    proxy_pass http://unix:/var/run/anna.sock:/;

При необходимости повторите для каждого поддомена и установите разрешения для сокетов Unix, чтобы только те пользователи, которых вы хотите, могли слушать там.

Также обратите внимание, что пользователь, который может запускать контейнеры Docker, может монтировать /etc/passwd в них и получить root права, так что от этого нужно защищаться отдельно.

Просто хотел добавить еще одну точку зрения... конечно, больше работы! Но интересно...

Рассмотрите возможность запуска оркестратора контейнеров, такие как кубернет. Проверить ТИП (Kubernetes-in-Docker) за интересный способ запуска кластера Kubernetes на одном узле только с Docker.

Затем вы могли бы, например, сделать что-то вроде

• создать пространство имен для каждого пользователя, например боб-нс и анна-нс.
• создать оказание услуг в каждом пространстве имен, раскрывая указанные порты
• дать каждому пользователю роль что позволяет им создавать стручки(группы контейнеров) в своем пространстве имен, что позволяет им принимать трафик из заданного оказание услуг в их пространстве имен.

Если вы правильно структурируете роли, пользователям, вероятно, будет разрешено запускать любые контейнеры, которые они хотят, в своем пространстве имен, но им не будет разрешено изменять оказание услуг который определяет открытые порты.

Это упрощено для экономии места, но примитивы, предоставляемые чем-то вроде k8s, отлично подходят для многопользовательских систем, подобных этой.