使用原生的ng、redis、tomcat等镜像是无法满足安全基线要求，所以只能写自己的dockerfile。
1、docker内运行应用的用户默认是root，需要做如下修改(红色命令)：
FROM centos MAINTAINER mc #新建app用户 RUN useradd -m -d /home/app -u 2021 -U app WORKDIR /home/app #复制并解压java和tomcat。不知道为何ADD命令的chown参数没有起作用，导致后面还需要手工执行chown ADD --chown=app ./jdk-8u291-linux-x64.tar.gz /home/app/ ADD --chown=app ./apache-tomcat.8081.tar /home/app/ #修改java和tomcat的宿主 RUN chown -R app:app /home/app #切换到app用户 USER app #设置java和tomcat的环境变量 ENV JAVA_HOME /home/app/jdk1.8.0_291 ENV CLASSPATH $JAVA_HOME/lib/dt.jar:$JAVA_HOME/lib/tools.jar ENV CATALINA_HOME /home/app/apache-tomcat ENV CATALINA_BASE /home/app/apache-tomcat ENV PATH $PATH:$JAVA_HOME/bin:$CATALINA_HOME/lib:$CATALINA_HOME/bin #暴露8081端口 EXPOSE 8081 #启动tomcat CMD /home/app/apache-tomcat/bin/startup.sh && tail -F /home/app/apache-tomcat/logs/catalina.out
原文：https://www.cnblogs.com/badwood316/p/14773000.html