Почему считается плохой практикой запускать процессы в контейнере от пользователя root?

Контейнер не является полноценной виртуальной машиной. Если процесс внутри контейнера работает от root, то при успешной атаке злоумышленник получает максимальные привилегии внутри контейнера и потенциально может атаковать хостовую систему. Поэтому рекомендуется запускать приложения от непривилегированного пользователя.

Ещё вопросы по теме «Безопасность»

• Как можно ограничить права доступа пользователя внутри контейнера и к примонтированным папкам (volumes)?
• Что такое Kata Containers и как они помогают повысить уровень изоляции по сравнению с обычными контейнерами?
• Как использование Multi-stage build влияет на безопасность итогового образа?
• Можно ли из контейнера получить доступ к ядру хостовой системы и как это предотвратить?