问题描述
在Docker镜像/容器中的root用户是否与主机的root用户相同？我对在Docker镜像中使用root用户的安全影响感到好奇。
我知道容器通常由非root用户（通常是名为“docker”的用户）运行，该用户启动了docker守护进程。然后docker守护进程启动容器进程。
解决方案
请注意以下操作注意版本差异及修改前做好备份。
方案1：Docker容器中的root用户是独立的
Docker容器中的root用户与主机的root用户是独立的。容器运行在隔离的环境中，通过Linux内核的cgroups和libvirt进行隔离。因此，容器内部的root用户与主机上的root用户并不相同，它们具有各自独立的权限和环境。
虽然在容器内使用root用户可以提供一些灵活性，但需要注意的是，容器的安全模型仍然要考虑到潜在的威胁。Docker建议只允许受信任的用户控制Docker守护进程，因为能够运行docker命令的用户实际上具有对主机设备的root访问权限。
方案2：容器内的UID 0
在Docker容器内部，如果使用UID 0（即root用户），那么对于一些主机上属于root用户的文件，你可能会具有与在主机上执行相同操作的能力，除非添加了Docker等容器管理界面提供的额外安全机制，如SELinux或用户命名空间等。
然而，平台如GCP或AWS并没有阻止你在Dockerfile中使用USER root命令。尽管如此，他们通过不共享root文件系统等方式来防止你跳出容器。在这种情况下，使用UID 0的用户在容器内外都具有相同的权限。
请注意，这并不是推荐的做法，因为在容器中使用root用户可能增加了潜在的安全风险。
注意： Docker的安全模型认为容器内部的程序可能存在威胁，但完全信任运行
docker run命令的用户。因此，只有受信任的用户应被允许控制Docker守护进程。参考文档： Docker守护进程攻击面
结论
在Docker镜像/容器中的root用户与主机的root用户不是相同的。容器内部的root用户和主机上的root用户是独立的，因为容器是通过隔离技术运行的，并具有各自独立的权限和环境。容器中的UID 0可能会导致在一些情况下具有与在主机上执行相同操作的能力，但应该注意潜在的安全风险。对于Docker守护进程的控制应该限制在受信任的用户之间，因为能够运行docker命令的用户具有对主机设备的root访问权限。