docker cp后的文件所有权

时间:2017-10-06 20:13:11

标签: docker file-permissions

如何控制哪个用户拥有我从容器中复制的文件?

docker cp command说明了文件所有权:

  

cp命令的行为与Unix cp -a命令的行为类似,即递归复制目录,并尽可能保留权限。所有权设置为目的地的用户和主要组。例如,复制到容器的文件是使用root用户的UID:GID创建的。复制到本地计算机的文件是使用调用UID:GID命令的用户的docker cp创建的。但是,如果您指定-a选项,则docker cp会将所有权设置为来源的用户和主要组。

它表示复制到容器的文件是以root用户身份创建的,但这不是我看到的。我创建了两个由用户ID 1005和1006拥有的文件。这些所有者被转换为容器的用户命名空间。将文件复制到容器中时,-a选项似乎没有任何区别。

$ sudo chown 1005:1005 test.txt
$ ls -l test.txt
-rw-r--r-- 1 1005 1005 29 Oct  6 12:43 test.txt
$ docker volume create sandbox1
sandbox1
$ docker run --name run1 -vsandbox1:/data alpine echo OK
OK
$ docker cp test.txt run1:/data/test1005.txt
$ docker cp -a test.txt run1:/data/test1005a.txt
$ sudo chown 1006:1006 test.txt
$ docker cp test.txt run1:/data/test1006.txt
$ docker cp -a test.txt run1:/data/test1006a.txt
$ docker run --rm -vsandbox1:/data alpine ls -l /data
total 16
-rw-r--r--    1 1005     1005            29 Oct  6 19:43 test1005.txt
-rw-r--r--    1 1005     1005            29 Oct  6 19:43 test1005a.txt
-rw-r--r--    1 1006     1006            29 Oct  6 19:43 test1006.txt
-rw-r--r--    1 1006     1006            29 Oct  6 19:43 test1006a.txt

当我从容器中复制文件时,它们总是归我所有。同样,-a选项似乎什么都不做。

$ docker run --rm -vsandbox1:/data alpine cp /data/test1006.txt /data/test1007.txt
$ docker run --rm -vsandbox1:/data alpine chown 1007:1007 /data/test1007.txt
$ docker cp run1:/data/test1006.txt .
$ docker cp run1:/data/test1007.txt .
$ docker cp -a run1:/data/test1006.txt test1006a.txt
$ docker cp -a run1:/data/test1007.txt test1007a.txt
$ ls -l test*.txt
-rw-r--r-- 1 don  don  29 Oct  6 12:43 test1006a.txt
-rw-r--r-- 1 don  don  29 Oct  6 12:43 test1006.txt
-rw-r--r-- 1 don  don  29 Oct  6 12:47 test1007a.txt
-rw-r--r-- 1 don  don  29 Oct  6 12:47 test1007.txt
-rw-r--r-- 1 1006 1006 29 Oct  6 12:43 test.txt
$ 

4 个答案:

答案 0 :(得分:2)

除了@Don Kirkby的答案外,让我在bash / shell脚本中提供一个类似的示例,以防您要将某些内容复制到容器中,同时应用与原始文件不同的所有权和权限。

让我们从一个小图像创建一个新容器,该容器将继续运行:

docker run -d --name nginx nginx:alpine

现在,我们将创建一个新文件,该文件由当前用户拥有并具有默认权限:

touch foo.bar
ls -ahl foo.bar
>> -rw-rw-r-- 1 my-user my-group 0 Sep 21 16:45 foo.bar

将此文件复制到容器中会将所有权和组设置为我的用户的UID并保留权限:

docker cp foo.bar nginx:/foo.bar
docker exec nginx sh -c 'ls -ahl /foo.bar'
>> -rw-rw-r--    1 4098     4098           0 Sep 21 14:45 /foo.bar

不过,我使用了一些tar解决方法,可以更改容器内部应用的所有权和权限。

tar -cf - foo.bar --mode u=+r,g=-rwx,o=-rwx --owner root --group root | docker cp - nginx:/
docker exec nginx sh -c 'ls -ahl /foo.bar'
>> -r--------    1 root     root           0 Sep 21 14:45 /foo.bar

tar选项说明:

  • c创建一个新的存档,而不是解压缩一个存档。
  • f -将写入stdout而不是文件。
  • foo.bar是要打包的输入文件。
  • --mode指定目标的权限。与chown相似,它们可以用符号表示或八进制数表示。
  • --owner设置文件的新所有者。
  • --group设置文件的新组。

docker cp -stdin中读取要复制到容器中的文件。

当文件需要在开始之前复制到已创建的容器中时,这种方法很有用,例如docker exec不是一个选项(只能在运行中的容器上运行)。

答案 1 :(得分:1)

为了完全控制文件所有权,我使用了docker cp的{​​{3}}功能:

  

如果为-SRC_PATH指定了DEST_PATH,您还可以从STDINSTDOUT流式传输tar档案。

我启动docker cp进程,然后将tar文件流入或流出进程。随着tar条目的过去,我可以根据需要调整所有权和权限。

这是Python中的一个简单示例,它将/outputs容器中sandbox1的所有文件复制到当前目录,排除了当前目录,因此其权限不会被更改,并强制所有文件具有用户的读/写权限。

from subprocess import Popen, PIPE, CalledProcessError
import tarfile

def main():
    export_args = ['sudo', 'docker', 'cp', 'sandbox1:/outputs/.', '-']
    exporter = Popen(export_args, stdout=PIPE)
    tar_file = tarfile.open(fileobj=exporter.stdout, mode='r|')
    tar_file.extractall('.', members=exclude_root(tar_file))
    exporter.wait()
    if exporter.returncode:
        raise CalledProcessError(exporter.returncode, export_args)

def exclude_root(tarinfos):
    print('\nOutputs:')
    for tarinfo in tarinfos:
        if tarinfo.name != '.':
            assert tarinfo.name.startswith('./'), tarinfo.name
            print(tarinfo.name[2:])
            tarinfo.mode |= 0o600
            yield tarinfo

main()

答案 2 :(得分:1)

您还可以通过以root用户身份登录到容器来更改所有权:

docker exec -it --user root <container-id> /bin/bash
chown -R <username>:<groupname> <folder/file>

答案 3 :(得分:1)

只是一个单行(类似于@ramu 的回答),使用 root 拨打电话:

docker exec -u 0 -it <container-id> chown node:node /home/node/myfile