Contenedores sin privilegios de root

Ejecuta Node.js como un usuario sin privilegios de root para que un escape de contenedor o RCE no otorgue privilegios a nivel de host.

Receta

Tarjeta de receta de referencia rápida: lista para copiar y pegar.

FROM node:24-bookworm-slim
WORKDIR /app
 
COPY package.json package-lock.json ./
RUN npm ci --omit=dev
 
COPY dist ./dist
RUN chown -R node:node /app
 
USER node
ENV NODE_ENV=production
CMD ["node", "dist/main.js"]

Cuándo usarlo: Cada imagen de Node en producción. Los benchmarks de CIS Docker y la mayoría de las políticas de K8s requieren UIDs sin privilegios de root.

Ejemplo funcional

FROM node:24-bookworm-slim AS build
WORKDIR /app
COPY package.json package-lock.json ./
RUN npm ci
COPY tsconfig.json src ./
RUN npm run build
 
FROM node:24-bookworm-slim AS prod
WORKDIR /app
 
# Instalar como root, luego transferir la propiedad
COPY package.json package-lock.json ./
RUN npm ci --omit=dev
 
COPY --from=build /app/dist ./dist
 
# Directorios escribibles que la aplicación necesita en tiempo de ejecución
RUN mkdir -p /app/tmp /app/logs \
  && chown -R node:node /app
 
USER node
 
EXPOSE 3000
CMD ["node", "dist/main.js"]

// src/main.ts - enlazar puerto no privilegiado
import express from "express";
 
const app = express();
const port = Number(process.env.PORT ?? 3000);
 
app.get("/health", (_req, res) => res.json({ status: "ok" }));
 
app.listen(port, "0.0.0.0");

Lo que esto demuestra:

• La imagen oficial de node incluye un usuario node (UID 1000)
• chown antes de USER para que la aplicación pueda leer node_modules y escribir logs
• El puerto 3000 no requiere root (solo los puertos por debajo de 1024 lo requieren)

Análisis profundo

Cómo funciona

• Los contenedores Linux comparten el kernel del host; root en el contenedor sigue siendo peligroso (capacidades, montajes de sockets)
• USER node cambia al UID 1000 para el proceso CMD y sus hijos
• securityContext.runAsNonRoot: true de Kubernetes rechaza imágenes que comienzan como UID 0

Contexto de seguridad de Kubernetes

apiVersion: apps/v1
kind: Deployment
spec:
  template:
    spec:
      securityContext:
        runAsNonRoot: true
        runAsUser: 1000
        fsGroup: 1000
      containers:
        - name: api
          image: my-api:1.2.3
          securityContext:
            allowPrivilegeEscalation: false
            readOnlyRootFilesystem: true
            capabilities:
              drop: ["ALL"]
          volumeMounts:
            - name: tmp
              mountPath: /app/tmp
      volumes:
        - name: tmp
          emptyDir: {}

readOnlyRootFilesystem requiere montajes escribibles para archivos temporales y sockets Unix.

UID personalizado para OpenShift

Algunas plataformas requieren UIDs arbitrarios. Construye con directorios escribibles por grupo:

RUN chgrp -R 0 /app && chmod -R g=u /app
USER 1001

OpenShift se ejecuta como un UID aleatorio en el grupo root; g=u otorga acceso de escritura.

Lista de verificación de permisos de archivos

Errores comunes

• USER node antes de COPY - archivos propiedad de root, la aplicación no puede escribir. Solución: chown después de todas las copias.
• Enlazar puerto 80 - falla sin root. Solución: escuchar en 3000; el ingreso mapea 443 a 3000.
• npm install como node en la compilación - errores de permiso de caché. Solución: instalar como root en la etapa de compilación, chown, luego USER node.
• Los montajes de volumen anulan la propiedad - directorios del host propiedad de root. Solución: fsGroup en K8s o chown en initContainer.
• Prisma/sqlite escribiendo en /app - el sistema de archivos root de solo lectura falla. Solución: montar emptyDir en /app/data.
• Asumir que el usuario node existe en distroless - usar el usuario nonroot en su lugar.

Alternativas

Preguntas frecuentes

docker run --rm my-api id
# uid=1000(node) gid=1000(node)

Relacionado

• Conceptos básicos de Docker - primer Dockerfile
• Compilaciones de varias etapas - chown en la etapa final
• Compromisos de Distroless y Alpine - usuario nonroot
• Sondas de salud y preparación - sondas como no-root
• Mejores prácticas de Docker - lista de verificación de la sección

Versiones de pila: Esta página fue escrita para Node.js 24.18.0 (LTS activa), npm 10+, TypeScript 5.6+, Express 5, Fastify 5 y NestJS 11.