如何在 Docker 容器内使用 sudo？

先说结论：多数情况下容器里不需要 sudo**——默认容器进程就是 root（容器内的 root），直接执行特权操作。如果你的镜像以非 root 用户运行且确需提权：镜像里安装 sudo 并配置 sudoers 规则，或者更简单地 docker exec -u root -it 容器 sh 直接以 root 进入。**

理解容器的权限模型

• 默认 docker run 的进程是容器内 root（除非镜像用 USER 指令切了用户）
• docker exec 默认继承容器主进程的用户身份
• 容器内 root ≠ 宿主机 root（受 capability 与命名空间限制），但对容器内操作够用

场景一：就是想 root 操作

docker exec -u root -it myapp sh

不用装 sudo，直接以 root 身份进容器。

场景二：非 root 用户偶尔提权（装 sudo）

Dockerfile：

FROM ubuntu:22.04
RUN apt-get update && apt-get install -y sudo \
    && useradd -m appuser \
    && echo "appuser ALL=(ALL) NOPASSWD:ALL" >> /etc/sudoers
USER appuser

容器内：

sudo apt install vim

NOPASSWD 视安全要求取舍；要密码就在 sudoers 里去掉该选项并给用户设密码。

场景三：构建期需要提权

构建期 RUN 默认就是 root，除非前面有 USER 指令——需要 root 的步骤放 USER 之前，或：

USER root
RUN apt-get install -y something
USER appuser     # 用完切回来

安全建议

1. 生产镜像尽量以非 root 运行（USER），能大幅减少容器逃逸的爆炸半径
2. 容器内装了 sudo 又配 NOPASSWD ≈ 没有非 root 保护，谨慎
3. 需要特定内核能力用 --cap-add（如 NET_ADMIN）精准授权，而不是特权模式 --privileged

观测云对照

以 root 跑进容器的操作要可审计。 谁 exec 进了生产容器、执行了什么，属于高敏感操作面；观测云对主机与容器日志的统一采集让这些操作留痕可查。

常见问题（FAQ）

Q：容器里 sudo 报 "no tty present"？
A：exec 加 -t 分配终端，或 sudoers 里对该用户关掉 requiretty。

Q：为什么我的容器里没有 sudo 命令？
A：多数官方镜像不预装 sudo——因为默认就是 root，用不着；装了 USER 切换的才需要。

Q：sudo 和 --privileged 什么关系？
A：sudo 解决容器内的用户提权；--privileged 是给容器放开宿主机级能力，风险极高，别当 sudo 替代品用。