如何在 Docker 容器内使用 sudo？

先说结论：多数情况下容器里不需要 sudo**——默认容器进程就是 root（容器内的 root），直接执行特权操作。如果你的镜像以非 root 用户运行且确需提权：镜像里安装 sudo 并配置 sudoers 规则，或者更简单地 docker exec -u root -it 容器 sh 直接以 root 进入。**

理解容器的权限模型

• 默认 docker run 的进程是容器内 root（除非镜像用 USER 指令或运行时用 --user 指定了用户）
• docker exec 默认使用容器创建时配置的用户，不会自动跟随 PID 1 在启动后自行降权的身份
• rootful 且未启用用户命名空间映射时，容器 UID 0 可对应宿主 UID 0；仍受 capabilities、挂载和安全策略限制，不能保证 root 可绕过所有权限

场景一：就是想 root 操作

docker exec -u root -it myapp sh

不用装 sudo，直接以 root 身份进容器。

场景二：非 root 用户偶尔提权（装 sudo）

Dockerfile：

FROM ubuntu:22.04
RUN apt-get update && apt-get install -y sudo \
    && useradd -m appuser \
    && printf 'appuser ALL=(root) NOPASSWD: /usr/bin/id ""\n' > /etc/sudoers.d/appuser \
    && chmod 0440 /etc/sudoers.d/appuser \
    && visudo -cf /etc/sudoers.d/appuser
USER appuser

容器内：

sudo /usr/bin/id

示例仅允许无参数运行 /usr/bin/id，实际应限定所需命令；不要授权通用 shell 或包管理器来假装最小权限。需要密码时应通过受控运行配置提供，不要把明文密码写入镜像层。

场景三：构建期需要提权

构建期 RUN 使用当前 USER，可能继承基础镜像的非 root 设置——需要 root 的步骤放 USER 之前，或：

USER root
RUN apt-get install -y something
USER appuser     # 用完切回来

安全建议

1. 生产镜像尽量以非 root 运行（USER），能大幅减少容器逃逸的爆炸半径
2. 容器内 sudo 若配 NOPASSWD: ALL，非 root 用户就能免密执行任意 root 命令；限定单条命令的规则应按实际授权评估
3. 需要特定内核能力用 --cap-add（如 NET_ADMIN）精准授权，而不是特权模式 --privileged

常见问题（FAQ）

Q：容器里 sudo 报 "no tty present"？
A：先区分 requiretty 与需要密码的错误；交互时可分配终端，但 TTY 不提供授权。自动化应配置明确的最小权限规则，不能靠取消TTY要求绕过认证。

Q：为什么我的容器里没有 sudo 命令？
A：许多镜像为保持精简不预装 sudo；root 运行通常用不着，非 root 运行也只有确需受控提权时才需要。

Q：sudo 和 --privileged 什么关系？
A：sudo 解决容器内的用户提权；--privileged 是给容器放开宿主机级能力，风险极高，别当 sudo 替代品用。