打造共享开发环境：Docker容器多用户SSH登录方案

一、背景与挑战

在嵌入式开发中，我们面临一个常见难题：不同SoC平台需要各自独立的交叉编译环境。这些环境依赖复杂，容易互相干扰，给团队协作带来挑战。

传统方案有两种：

• 多服务器：为每个平台配置独立服务器，成本高且资源利用率低
• 单机多环境：在同一服务器上安装多个编译环境，容易产生依赖冲突

Docker的出现为我们提供了更好的选择，但标准Docker容器默认不支持多用户共享，这正是我们需要解决的核心问题。

二、Docker基础与多用户困境

Docker工作原理

当多个用户启动同一个Docker镜像时：

• 共享只读层：所有容器共享基础镜像的只读层，节省存储空间
• 独立可写层：每个容器拥有自己独立的可写层（Copy-on-Write机制）

多用户困境

如果每个开发者都启动自己的容器实例，会产生大量重复的可写层，浪费系统资源，同时也无法方便地共享代码和编译产物。

三、解决方案：容器内SSH多用户共享

我们的目标是创建一个支持多用户同时SSH登录的Docker容器，实现：

• 所有用户共享同一个容器实例
• 个人数据和配置相互隔离
• 保持与传统开发服务器相似的使用体验

方案核心思路

1. 在Docker容器中运行SSH服务
2. 预先创建所有需要访问的用户账户
3. 通过目录挂载实现用户数据持久化和隔离

四、实现步骤详解

1. 编写Dockerfile

我们需要创建一个包含SSH服务和多用户的Docker镜像：

FROM ubuntu:22.04
ENV DEBIAN_FRONTEND=noninteractive

# 使用国内镜像源加速
RUN echo "deb http://mirrors.ustc.edu.cn/ubuntu/ jammy main restricted universe multiverse
deb http://mirrors.ustc.edu.cn/ubuntu/ jammy-security main restricted universe multiverse
deb http://mirrors.ustc.edu.cn/ubuntu/ jammy-updates main restricted universe multiverse
deb http://mirrors.ustc.edu.cn/ubuntu/ jammy-backports main restricted universe multiverse" > /etc/apt/sources.list

# 安装基础开发工具和SSH服务
RUN apt-get update -y && apt-get upgrade -y && \
    apt-get install -y curl repo bc binfmt-support bison bsdmainutils build-essential \
    bzip2 chrpath cmake cpio cpp-aarch64-linux-gnu debianutils device-tree-compiler \
    diffstat expat expect fakeroot fdisk file flex g++ gawk gcc gcc-multilib git \
    git-core g++-multilib gpgv2 iputils-ping libegl1-mesa libelf-dev libgmp-dev \
    libgucharmap-2-90-dev liblz4-tool libmpc-dev libsdl1.2-dev libssl-dev live-build \
    make ncurses-dev net-tools patchelf python2 python3 python-is-python3 python3-git \
    python3-jinja2 python3-pexpect python3-pip qemu-user-static rsync socat ssh \
    strace sudo texinfo time tree unzip vim wget xterm xz-utils zstd openssh-server && \
    pip3 install pyelftools -i http://pypi.mirrors.ustc.edu.cn/simple/ --trustedhost pypi.mirrors.ustc.edu.cn

# 配置SSH服务
RUN mkdir /var/run/sshd && \
    sed -i 's/#PermitRootLogin prohibit-password/PermitRootLogin no/' /etc/ssh/sshd_config && \
    sed -i 's/#PasswordAuthentication yes/PasswordAuthentication yes/' /etc/ssh/sshd_config

# 添加用户并设置密码
RUN useradd -m -d /home/rk -s /bin/bash rk && echo 'rk:rk123456' | chpasswd && usermod -aG sudo rk && \
    useradd -m -d /home/david -s /bin/bash david && echo 'david:rk123456' | chpasswd && usermod -aG sudo david && \
    useradd -m -d /home/paul -s /bin/bash paul && echo 'paul:rk123456' | chpasswd && usermod -aG sudo paul

# 允许sudo免密码
RUN sed -i 's/%sudo\tALL=(ALL:ALL) ALL/%sudo\tALL=(ALL:ALL) NOPASSWD:ALL/' /etc/sudoers

EXPOSE 22
CMD ["/usr/sbin/sshd", "-D"]

2. 构建Docker镜像

docker build --no-cache -t shared-dev-env:v1 .

3. 启动容器并配置数据卷

docker run -d --name rk3568-dev -v /data/for_docker:/home -p 8888:22 shared-dev-env:v1

这个命令做了两件关键事情：

• 目录挂载：将宿主机的/data/for_docker目录映射到容器的/home目录，实现用户数据持久化
• 端口映射：将宿主机的8888端口映射到容器的22端口，避免与宿主机SSH服务冲突

4. 用户登录与使用

开发者可以通过以下命令登录容器：

# 开发者david登录
ssh david@server_ip -p 8888

# 开发者paul登录
ssh paul@server_ip -p 8888

登录后，用户会直接进入自己的主目录（位于宿主机的/data/for_docker下），可以像使用普通Linux服务器一样进行开发工作。

五、方案优势分析

资源高效利用

• 所有用户共享同一个容器实例，避免了重复创建容器带来的资源浪费
• 基础镜像只读层在内存和磁盘中都只有一份拷贝

开发体验一致性

• 所有开发者使用完全相同的编译环境，消除了"我这能编译，你那不行"的问题
• 保持了传统SSH登录开发服务器的使用习惯，学习成本低

数据安全与隔离

• 通过用户账户机制实现文件系统级别的隔离
• 数据存储在宿主机上，容器重启或重建不会丢失数据

六、安全性考虑

虽然此方案便捷高效，但在实施时需注意安全问题：

1. 密码安全：生产环境中应避免使用弱密码，建议使用SSH密钥登录
2. 用户权限：根据实际需求分配sudo权限，避免不必要的特权
3. 容器隔离：共享容器意味着一个用户的恶意操作可能影响其他用户
4. 数据备份：定期备份宿主机上的用户数据目录

七、进阶优化建议

SSH密钥登录配置

为提高安全性，建议配置SSH密钥登录：

# 在宿主机上生成密钥对
ssh-keygen -t rsa

# 将公钥复制到容器中
docker exec -it rk3568-dev bash -c "mkdir -p /home/david/.ssh && chmod 700 /home/david/.ssh"
cat ~/.ssh/id_rsa.pub | docker exec -i rk3568-dev bash -c "cat >> /home/david/.ssh/authorized_keys && chmod 600 /home/david/.ssh/authorized_keys && chown -R david:david /home/david/.ssh"

然后修改容器内的SSH配置：

sed -i 's/PasswordAuthentication yes/PasswordAuthentication no/' /etc/ssh/sshd_config

用户管理脚本

当团队成员变动频繁时，可以创建脚本来管理用户：

#!/bin/bash
# add_user.sh

if [ $# -ne 2 ]; then
    echo "Usage: $0 <username> <password>"
    exit 1
fi

USER=$1
PASS=$2

docker exec rk3568-dev bash -c "useradd -m -d /home/$USER -s /bin/bash $USER && \
                                echo '$USER:$PASS' | chpasswd && \
                                usermod -aG sudo $USER"

容器健康检查

为容器添加健康检查，确保SSH服务正常运行：

HEALTHCHECK --interval=30s --timeout=10s --start-period=60s --retries=3 \
  CMD ssh -o BatchMode=yes -o ConnectTimeout=5 root@localhost "echo 'SSH service is running'" || exit 1

八、适用场景与局限性

适用场景

• 需要多人协作的编译服务器
• 对开发环境一致性要求高的团队
• 资源有限但需要支持多用户的场景

局限性

• 容器内所有用户共享同一套系统资源，可能相互影响
• 安全性低于完全隔离的容器或虚拟机方案
• 不适合运行需要图形界面的应用程序

九、替代方案对比

方案	优点	缺点	适用场景
共享容器SSH	资源利用率高，环境一致性好	安全性较低，用户间可能相互影响	团队内部协作，信任度高的环境
独立容器	隔离性好，安全性高	资源消耗大，环境同步复杂	多租户环境，需要强隔离的场景
虚拟机	隔离性最好，安全性最高	资源消耗最大，启动慢	对安全性要求极高的场景

十、实施建议与最佳实践

1. 镜像版本控制：为不同版本的开发环境创建不同标签的镜像
2. 数据卷管理：使用命名卷替代直接目录挂载，便于管理
3. 容器编排：对于复杂场景，考虑使用Docker Compose或Kubernetes管理
4. 定期维护：定期更新基础镜像，修补安全漏洞
5. 使用文档：为团队成员提供清晰的使用指南

十一、总结

通过在Docker容器中集成SSH服务并配置多用户环境，我们实现了一个高效、一致且易于维护的共享开发平台。这种方案特别适合资源有限但需要支持多用户的开发团队，能够显著提高团队协作效率和环境一致性。

随着团队规模扩大和需求变化，可以考虑引入更复杂的容器编排和用户管理方案，但对于大多数中小型团队而言，本文介绍的方法已经足够满足需求。

---