docker 无法使用非 root 用户在已安装的卷上写入

Question

我有来自 nginx 映像的带有 myuser 的 Dockerfile，我想在已安装的位置安装日志，我正在使用 docker-compose 来启动容器。我的要求是仅使用非 root 用户并且不使用 sudo。

我的 dockerfile 与 myuser，我创建的图像标签是 mynginx:v1

RUN addgroup mygroup
RUN adduser myuser --disabled-password
USER myuser

非工作 docker 将 mynginx 映像与 myuser 组合在一起

version: "2"
services:
  nginx:
    container_name: nginx
    image: mynginx:v1
    ports:
      - "8888:80"
    volumes:
      - ./log/nginx:/var/log/nginx

尽管目录已挂载，但主机上看不到 nginx 日志文件 access.log 和 error.log。

Docker 日志如下：

nginx: [alert] could not open error log file: open() "/var/log/nginx/error.log" failed (13: Permission denied)
2021/04/09 12:46:08 [warn] 1#1: the "user" directive makes sense only if the master process runs with super-user privileges, ignored in /etc/nginx/nginx.conf:2
2021/04/09 12:46:08 [emerg] 1#1: mkdir() "/var/cache/nginx/client_temp" failed (13: Permission denied)

但是，如果我对以 root 用户身份运行的官方 nginx 映像执行相同操作，则一切正常。

使用 root 用户使用官方 nginx 镜像工作 docker compose

version: "2"
services:
  nginx:
    container_name: nginx
    image: nginx
    ports:
      - "8888:80"
    volumes:
      - ./log/nginx:/var/log/nginx

尝试查看各种选项，但到目前为止还没有运气。

Answer 1

最有可能的是主机上的 UID与容器内的myuserUID 不匹配。myuser

解决方案

如果您想从容器内写入主机的目录，您必须首先myuser在主机上创建一个用户并通过以下方式检查其 UID

$ sudo su - myuser -c "id"
uid=1000(myuser) gid=100(users) Gruppen=100(users)

在此示例中，UID=1000，GID=100。

现在您需要在主机上创建一个~/log/nginx所有者/组为的文件夹。myuser

$ sudo mkdir ~/log/nginx
$ sudo chown myuser ~/log/nginx
$ sudo chmod -R 0700 ~/log/nginx/

之后，您可以创建一个 Dockerfile 和具有相同 UID/GID 的用户。

RUN useradd myuser -u 1000 -g 100 -m -s /bin/bash
USER myuser

现在您应该能够使用指定的用户写入已安装的卷。您可以通过以下方式检查：

docker run -v $(pwd)/log/nginx:/var/log/nginx --rm -it mynginx:v1 /bin/bash

如果你现在可以写信给/var/log/nginx