在 linux 上的 docker 中重叠绑定挂载和权限

Question

linux 主机上的重叠绑定挂载似乎会在root. 这是故意的吗？下面是一个例子：

# Create a file to mount in the container
touch hostfile
# Create a temporary directory to mount in the container
mkdir tempdir
# Run bash in the container and mount the file and directory
docker run --rm --volume=`pwd`/tempdir:/home --volume=`pwd`/hostfile:/home/hostfile ubuntu bash

运行该命令后，hostfile可以在 中找到tempdir但归root.

注意

• 在 OS X 主机上运行相同的 bash 脚本会导致hostfile由启动容器的用户拥有，
• 在调用过程中指定主机上用户的用户和组 IDdocker run不会改变任何内容。

Answer 1

此行为是预期的行为。让我们尝试了解发生了什么并手动执行相同的安装。

我们在某个位置创建hostfile“主机”目录和目标“容器”目录（比如说，它/home/qazer/dockx在我的机器上）：

# the host file
$ touch hostfile

# the "host"-side dir
$ mkdir hostdir

# the "container"-side dir
$ mkdir contdir

然后我们执行挂载：

# the first mount: "host" dir to "container" dir
$ sudo mount --bind hostdir contdir

# success!

# the second mount: host file to the container file
$ sudo mount --bind hostfile contdir/hostfile
mount: contdir/hostfile: mount point does not exist.

是的，绑定挂载失败，因为目标文件不存在！查阅系统调用的联机帮助页mount(2)发现，如果提供的某些路径指向不存在的文件，则此调用将会失败：

ENOENT A pathname was empty or had a nonexistent component.

那么，Docker 实际上做了以下事情：

$ sudo strace -f -p $(pidof containerd) \
              -e trace=%file,mount -yy |& grep -e hostfile -e home
...
[pid 23945] newfstatat(AT_FDCWD, "/var/lib/docker/overlay2/b2c32423952d49f21e7a9c1addec6201c7f036c8dba1da975bac6a34d5abbe11/merged/home/hostfile", 0xc00016ce08, 0) = -1 ENOENT (No such file or directory)
...
[pid 23945] openat(AT_FDCWD, "/var/lib/docker/overlay2/b2c32423952d49f21e7a9c1addec6201c7f036c8dba1da975bac6a34d5abbe11/merged/home/hostfile", O_RDONLY|O_CREAT|O_CLOEXEC, 0755) = 7</var/lib/docker/overlay2/b2c32423952d49f21e7a9c1addec6201c7f036c8dba1da975bac6a34d5abbe11/merged/home/hostfile>
[pid 23945] mount("/home/qazer/dockx/hostfile", "/var/lib/docker/overlay2/b2c32423952d49f21e7a9c1addec6201c7f036c8dba1da975bac6a34d5abbe11/merged/home/hostfile", 0xc00013bb00, MS_BIND|MS_REC, NULL) = 0

首先，/home/hostfile在容器文件系统中检查文件是否存在（调用newfstat()）。该文件不存在 ( ENOENT)，因此 Docker创建它是为了避免我们之前看到的错误（调用），并且只有在此之后，容器引擎才会执行到容器文件系统openat(O_CREAT)的实际绑定挂载（调用）。hostfilemount()

在编写本文时，该/home目录已经从主机绑定安装（第一次安装），因此此写入将写入该主机目录。最后，当容器停止时，Docker 写入的文件保留在主机目录中，这就是您所看到的。

至于 Mac OS 主机的文件所有权 - 我认为原因与您的问题相同。