在没有sudo的情况下运行docker命令的子集

Question

目前，如果您将用户添加到docker组中，则可以不使用sudo运行所有docker命令。但是，我只想让用户运行一部分docker命令（即只读命令，如inspect,ps,stats,images等）。

有没有办法创建一个行为相似的第二组？

目前，我正在使用sudoers文件来限制用户上述命令。但用户仍然需要键入sudo。

泊坞在CentOS 7.

Answer 1

要限制用户仅具有一个有限组的命令的访问，既可以使用一个Authorization plugin（代码的实例可在GitHub上的https://github.com/docker/go-plugins-helpers储存库中找到版本1.12.1，以及更完整的示例here），或者使用防止访问您不希望用户有权访问的API端点的代理服务器。

请记住，docker run（即使没有--privileged）也允许访问主机的文件系统。