USER Instruction 👤

Dockerfile-এ USER ইন্সট্রাকশনটি কন্টেইনারের সুরক্ষা নিশ্চিত করার জন্য অত্যন্ত গুরুত্বপূর্ণ। এটি সরাসরি কন্টেইনারের ভেতরে রান হওয়া প্রসেসগুলো কোন ইউজার হিসেবে রান করবে তা নির্ধারণ করে।

---

১. USER ইন্সট্রাকশন কি?

ডিফল্টভাবে, ডকার কন্টেইনারের সব কমান্ড root ইউজার হিসেবে চলে। কিন্তু সিকিউরিটি বেস্ট প্র্যাকটিস অনুযায়ী, আপনার অ্যাপ্লিকেশনটি রুট ইউজার হিসেবে চালানো উচিত নয়। USER ইন্সট্রাকশন ব্যবহার করে আপনি কন্টেইনারের কন্টেক্সট রুট থেকে অন্য কোনো সাধারণ ইউজারে পরিবর্তন করতে পারেন।

---

২. রুট ইউজার হিসেবে চালানোর ঝুঁকি

যদি আপনার অ্যাপ্লিকেশনটি রুট ইউজার হিসেবে চলে এবং কোনোভাবে অ্যাপ্লিকেশনটিতে হ্যাকাররা এক্সেস পায়, তবে:

• হ্যাকার কন্টেইনারের সব ফাইল পরিবর্তন করতে পারবে।
• কন্টেইনার থেকে বের হয়ে মেইন হোস্ট সিস্টেমের নিয়ন্ত্রণ নেওয়ার চেষ্টা করতে পারবে (Container Breakout)।
• সেনসিটিভ ডেটা চুরি হওয়ার ঝুঁকি ১০০% বেড়ে যায়।

---

৩. কিভাবে USER ইন্সট্রাকশন ব্যবহার করবেন?

প্রথমে আপনাকে একটি নতুন ইউজার এবং গ্রুপ তৈরি করতে হবে এবং তারপর USER কমান্ড দিয়ে সেটি সেট করতে হবে।

Alpine Linux-এর জন্য উদাহরণ:

# ১. একটি নন-রুট ইউজার এবং গ্রুপ তৈরি করা
RUN addgroup -S appgroup && adduser -S appuser -G appgroup

# ২. কাজের ডিরেক্টরি সেট করা
WORKDIR /app

# ৩. ফাইলের পারমিশন পরিবর্তন করা (যাতে নতুন ইউজার ফাইল পড়তে/লিখতে পারে)
COPY --chown=appuser:appgroup . .

# ৪. ইউজার সুইচ করা
USER appuser

# এখন থেকে সবকিছু appuser হিসেবে চলবে
CMD ["npm", "start"]

Ubuntu/Debian-এর জন্য উদাহরণ:

RUN groupadd -r appgroup && useradd -r -g appgroup appuser
USER appuser

---

৪. গুরুত্বপূর্ণ টিপস

• Specific UID/GID ব্যবহার করা: অনেক সময় সিকিউরিটি পলিসির জন্য নির্দিষ্ট আইডি প্রয়োজন হয়।

  RUN addgroup -g 1001 appgroup && \
      adduser -D -u 1001 -G appgroup appuser
  USER appuser

• --chown ফ্লাগ: COPY বা ADD কমান্ডের সময় রিমেম্বার করে --chown=user:group ব্যবহার করুন, নতুবা ফাইলগুলো রুট ইউজারের মালিকানাধীন থেকে যাবে এবং আপনার অ্যাপ সেগুলো এক্সেস করতে পারবে না।
• WORKDIR এর অবস্থান: সাধারণত ইউজার সুইচ করার আগেই WORKDIR সেট করা এবং প্রয়োজনীয় ফাইল কপি করা শেষ করা ভালো।

---

সারসংক্ষেপ (Summary)

প্রোডাকশন-রেডি যেকোনো Dockerfile-এ USER ইন্সট্রাকশন থাকা বাধ্যতামূলক বলে মনে করা হয়। এটি আপনার অ্যাপ্লিকেশনের চারধারে একটি অতিরিক্ত নিরাপত্তার স্তর তৈরি করে।

---

IMPORTANT

সবসময় মনে রাখবেন: "Principle of Least Privilege" বা ন্যূনতম ক্ষমতার নীতি অনুযায়ী অ্যাপ্লিকেশন রান করা সিকিউরিটির মূল চাবিকাঠি।