Использует ли Kuberenetes инструкцию USER из Dockerfile?

Question

Рассмотрим файл Docker, в котором используется инструкция USER , например

FROM adoptopenjdk:11-jre-hotspot as builder
WORKDIR application
ARG JAR_FILE=build/libs/*.jar
COPY ${JAR_FILE} application.jar
RUN java -Djarmode=layertools -jar application.jar extract

FROM adoptopenjdk:11-jre-hotspot
WORKDIR application
COPY --from=builder application/dependencies/ ./
COPY --from=builder application/spring-boot-loader ./
COPY --from=builder application/snapshot-dependencies/ ./
COPY --from=builder application/application/ ./
VOLUME /tmp
EXPOSE 8080
USER nobody
ENTRYPOINT ["java", "org.springframework.boot.loader.JarLauncher"]

Когда Куберенец запускает образ docker, соблюдает ли он инструкцию USER или игнорирует ее?

Если пользователь не существует в кластере K8s, создает ли K8s пользователя?

Answer 1

Да, это так. Это важная функция при защите контейнеров (хотя использование gosu или аналогичного инструмента обеспечит аналогичную безопасность).