解决Docker中volume的权限问题的方法

volume的权限问题

在Docker中&＃xff0c;需要把host的目录挂载到container中作为volume使用时&＃xff0c;往往会发生文件权限问题。 常见的现象是&＃xff0c;container对该路径并无写权限&＃xff0c;以致其中服务的各种千奇百怪的问题。

导致这类问题的原因&＃xff0c;是container内外的UID不同。 比如&＃xff0c;host当前使用docker的用户UID是1000&＃xff08;这是默认第一个用户的UID&＃xff09;。 如果container内的UID是2000&＃xff0c;那么host创建的目录对container来说就并非owner&＃xff0c;默认情况下不可写入。

此外还有一种情况&＃xff0c;那就是挂载前&＃xff0c;host上不存在被挂载的目录。 Docker会以root权限&＃xff0c;先创建该目录&＃xff0c;再挂载。 这就导致&＃xff0c;即使host与container的UID都是1000&＃xff0c;也会出现无写权限的情况。 这种现象&＃xff0c;只会在初始化时出现&＃xff0c;但也足够令新手困惑&＃xff0c;令老手厌烦。

为什么在Dockerfile中不能把volume的权限配置好&＃xff1f; 因为Dockerfile是对image的描述&＃xff0c;而volume则是container的内容。 Dockerfile中做出的权限配置&＃xff0c;对非volume来说是可以生效的&＃xff0c;而对volume则不然。 本质上&＃xff0c;host挂载到volume上的目录&＃xff0c;是属于host的。 Dockerfile是在docker build期间执行&＃xff0c;而volume则是在docker run的时候产生。

其实&＃xff0c;Docker在自动创建volume路径时&＃xff0c;应该再自动地把它修改为container内前台进程的user:group。 然而Docker目前并无此类机制&＃xff0c;俺们这些用户就只能另谋出路。

一般的临时方案&＃xff0c;都是去手动修改权限。 要么通过chown&＃xff0c;把owner改成container内用户的UID&＃xff1b; 要么通过chmod 777&＃xff0c;搞成所有用户通用。 这些当然不是什么好的长期方案&＃xff0c;也违背了Docker方便部署的初衷。

目前看来&＃xff0c;最好的方案&＃xff0c;还是定制Dockerfile的ENTRYPOINT。

ENTRYPOINT

ENTRYPOINT有以下几个重点&＃xff1a;

• ENTRYPOINT 指定镜像的默认入口命令&＃xff0c;该入口命令会在启动容器时作为根命令执行&＃xff0c;所有其他传入值作为该命令的参数。
• ENTRYPOINT 的值可以通过docker run --entrypoint来覆盖掉。
• 只有 Dockerfile 中的最后一条 ENTRYPOINT 指令会起作用。

当指定了 ENTRYPOINT 后&＃xff0c;CMD 的含义就发生了改变&＃xff0c;不再是直接的运行其命令&＃xff0c;而是将 CMD 的内容作为参数传给 ENTRYPOINT 指令。换句话说实际执行时&＃xff0c;会变成 ""。

所以在dockerfile中ENTRYPOINT里编写一个入口脚本entrypoint.sh或docker-entrypoint.sh。在容器运行的时候通过ENTRYPOINT来做一些操作&＃xff0c;比如把volume挂载的目录权限给改正确&＃xff0c;然后再切换普通用户运行正常的程序进程。

gosu和su-exec

gosu的github仓库地址&＃xff1a;https://github.com/tianon/gosu

用法&＃xff1a;

$ gosu
Usage: ./gosu user-spec command [args]
eg: ./gosu tianon bash
./gosu nobody:root bash -c &＃39;whoami && id&＃39;
./gosu 1000:1 id
./gosu version: 1.1 (go1.3.1 on linux/amd64; gc)


文档中的简单例子&＃xff1a;

$ docker run -it --rm ubuntu:trusty su -c &＃39;exec ps aux&＃39;
USER PID %CPU %MEM VSZ RSS TTY STAT START TIME COMMAND
root 1 0.0 0.0 46636 2688 ? Ss&＃43; 02:22 0:00 su -c exec ps a
root 6 0.0 0.0 15576 2220 ? Rs 02:22 0:00 ps aux
$ docker run -it --rm ubuntu:trusty sudo ps aux
USER PID %CPU %MEM VSZ RSS TTY STAT START TIME COMMAND
root 1 3.0 0.0 46020 3144 ? Ss&＃43; 02:22 0:00 sudo ps aux
root 7 0.0 0.0 15576 2172 ? R&＃43; 02:22 0:00 ps aux
$ docker run -it --rm -v $PWD/gosu-amd64:/usr/local/bin/gosu:ro ubuntu:trusty gosu root ps aux
USER PID %CPU %MEM VSZ RSS TTY STAT START TIME COMMAND
root 1 0.0 0.0 7140 768 ? Rs&＃43; 02:22 0:00 ps aux


不管是su还是sudo&＃xff0c;他们在执行ps aux命令的PID编号都不为1。在容器中虽然可以&＃xff0c;但是这不是一个好的方案&＃xff0c;容器里面 PID&＃61;1 的进程就是应用本身。因此可以使用gosu命令来切换用户执行命令。

对于debian安装方法如下&＃xff1a;

Debian 9&＃xff08;“Debian Stretch”&＃xff09;或更新的版本&＃xff1a;

RUN set -eux; \
apt-get update; \
apt-get install -y gosu; \
rm -rf /var/lib/apt/lists/*; \
# verify that the binary works
gosu nobody true


较旧的Debian版本&＃xff08;或较新的gosu版本&＃xff09;。

ENV GOSU_VERSION 1.16
RUN set -eux; \
# save list of currently installed packages for later so we can clean up
savedAptMark&＃61;"$(apt-mark showmanual)"; \
apt-get update; \
apt-get install -y --no-install-recommends ca-certificates wget; \
if ! command -v gpg; then \
apt-get install -y --no-install-recommends gnupg2 dirmngr; \
elif gpg --version | grep -q &＃39;^gpg (GnuPG) 1\.&＃39;; then \
# "This package provides support for HKPS keyservers." (GnuPG 1.x only)
apt-get install -y --no-install-recommends gnupg-curl; \
fi; \
rm -rf /var/lib/apt/lists/*; \
\
dpkgArch&＃61;"$(dpkg --print-architecture | awk -F- &＃39;{ print $NF }&＃39;)"; \
wget -O /usr/local/bin/gosu "https://github.com/tianon/gosu/releases/download/$GOSU_VERSION/gosu-$dpkgArch"; \
wget -O /usr/local/bin/gosu.asc "https://github.com/tianon/gosu/releases/download/$GOSU_VERSION/gosu-$dpkgArch.asc"; \
\
# verify the signature
export GNUPGHOME&＃61;"$(mktemp -d)"; \
gpg --batch --keyserver hkps://keys.openpgp.org --recv-keys B42F6819007F00F88E364FD4036A9C25BF357DD4; \
gpg --batch --verify /usr/local/bin/gosu.asc /usr/local/bin/gosu; \
command -v gpgconf && gpgconf --kill all || :; \
rm -rf "$GNUPGHOME" /usr/local/bin/gosu.asc; \
\
# clean up fetch dependencies
apt-mark auto &＃39;.*&＃39; > /dev/null; \
[ -z "$savedAptMark" ] || apt-mark manual $savedAptMark; \
apt-get purge -y --auto-remove -o APT::AutoRemove::RecommendsImportant&＃61;false; \
\
chmod &＃43;x /usr/local/bin/gosu; \
# verify that the binary works
gosu --version; \
gosu nobody true


对于alpine (3.7&＃43;)

当使用Alpine时&＃xff0c;可能也值得检查一下su-exec&＃xff08;apk add --no-cache su-exec&＃xff09;&＃xff0c;自从0.2版以来&＃xff0c;它完全与gosu兼容&＃xff0c;文件大小只有几分之一。

ENV GOSU_VERSION 1.16
RUN set -eux; \
\
apk add --no-cache --virtual .gosu-deps \
ca-certificates \
dpkg \
gnupg \
; \
\
dpkgArch&＃61;"$(dpkg --print-architecture | awk -F- &＃39;{ print $NF }&＃39;)"; \
wget -O /usr/local/bin/gosu "https://github.com/tianon/gosu/releases/download/$GOSU_VERSION/gosu-$dpkgArch"; \
wget -O /usr/local/bin/gosu.asc "https://github.com/tianon/gosu/releases/download/$GOSU_VERSION/gosu-$dpkgArch.asc"; \
\
# verify the signature
export GNUPGHOME&＃61;"$(mktemp -d)"; \
gpg --batch --keyserver hkps://keys.openpgp.org --recv-keys B42F6819007F00F88E364FD4036A9C25BF357DD4; \
gpg --batch --verify /usr/local/bin/gosu.asc /usr/local/bin/gosu; \
command -v gpgconf && gpgconf --kill all || :; \
rm -rf "$GNUPGHOME" /usr/local/bin/gosu.asc; \
\
# clean up fetch dependencies
apk del --no-network .gosu-deps; \
\
chmod &＃43;x /usr/local/bin/gosu; \
# verify that the binary works
gosu --version; \
gosu nobody true


docker-entrypoint.sh

脚本例1&＃xff1a;

#!/bin/sh
set -e
ls ${LOG_PATH} > /dev/null 2>&1 || mkdir -p ${LOG_PATH}
chown -R ${USERNAME}:${USERNAME} ${LOG_PATH}
if [ $# -gt 0 ];then
#su ${USERNAME} -c "exec $&＃64;"
exec su-exec ${USERNAME} $&＃64;
else
#su ${USERNAME} -c "exec uwsgi --ini uwsgi.ini --http&＃61;0.0.0.0:${DJANGO_PORT}"
exec su-exec ${USERNAME} uwsgi --ini uwsgi.ini --http&＃61;0.0.0.0:${DJANGO_PORT}
fi


脚本例2&＃xff1a;

#!/bin/sh
set -e
if [ "$(id -u)" -eq &＃39;0&＃39; ]
then
ls ${LOG_PATH} > /dev/null 2>&1 || mkdir -p ${LOG_PATH}
chown -R ${USERNAME}:${USERNAME} ${LOG_PATH}
exec gosu ${USERNAME} "$0" "$&＃64;"
fi


脚本说明&＃xff1a;

• set -e&＃xff1a;如果出现命令执行失败&＃xff0c;那么就应该退出脚本不继续往下执行&＃xff0c;避免失败对后续有影响。可以避免操作失败还继续往下执行的问题。
• exec&＃xff1a;系统调用exec是以新的进程去代替原来的进程&＃xff0c;但进程的PID保持不变&＃xff0c;可以保证容器的主程序PID&＃61;1。

在Dockerfile中添加docker-entrypoint.sh&＃xff0c;并且需要添加x执行权限&＃xff0c;否则将无权限执行。

COPY docker-entrypoint.sh .
RUN chmod a&＃43;x docker-entrypoint.sh
ENTRYPOINT ["/app/docker-entrypoint.sh"]


通过此docker-entrypoint.sh脚本&＃xff0c;可以在容器运行时强制把目录权限修改成需要的权限&＃xff0c;即使docker通过root用户初始化创建的volume挂载目录。如此一来&＃xff0c;就可以通过容器中的普通用户来运行程序&＃xff0c;并在这个普通的权限的目录中写入文件。