Question

版本

主机操作系统：Debian 4.9.110
Docker版本：18.06.1-ce

场景

我有一个目录，其中多个用户（user-a和user-b）通过公共组成员身份（shared）具有读/写访问权限，该目录通过chown设置：

/media/disk-a/shared/$ ls -la
drwxrwsr-x 4 user-a shared 4096 Oct  7 22:21 .
drwxrwxr-x 7 root   root   4096 Oct  1 19:58 ..
drwxrwsr-x 5 user-a shared 4096 Oct  7 22:10 folder-a
drwxrwsr-x 3 user-a shared 4096 Nov 10 22:10 folder-b

UID和GID如下：

uid=1000(user-a) gid=1000(user-a) groups=1000(user-a),1003(shared)
uid=1002(user-b) gid=1002(user-b) groups=1002(user-b),1003(shared)

相关/etc/group看起来像这样：

shared:x:1003:user-a,user-b

su进入两个用户时，可以在共享目录中按预期创建文件。

共享目录通过对/shared/的安装绑定附加到Docker容器。 Docker容器以user-b（使用--user "1002:1002"参数）运行

$ ps aux | grep user-b
user-b     1347  0.2  1.2 1579548 45740 ?       Ssl  17:47   0:02 entrypoint.sh

id从容器中打印出以下内容，对我来说还不错：

I have no name!@7a5d2cc27491:/$ id
uid=1002 gid=1002

ls -la还完美地镜像了其主机系统：

I have no name!@7a5d2cc27491:/shared ls -la
total 16
drwxrwsr-x 4 1000 1003 4096 Oct  7 20:21 .
drwxr-xr-x 1 root root 4096 Oct  8 07:58 ..
drwxrwsr-x 5 1000 1003 4096 Oct  7 20:10 folder-a
drwxrwsr-x 3 1000 1003 4096 Nov 10 20:10 folder-b

问题

在容器内，我无法将任何内容写入共享目录。对于touch test，我得到以下信息：

I have no name!@7a5d2cc27491:/shared$ touch test
touch: cannot touch 'test': Permission denied

我可以写到user-b（用户和组）直接拥有的目录中，并挂载到容器上。简单地说，似乎不应该尊重组成员身份全部。

我已经研究了user namespace remapping之类的事物，但是这些似乎是解决此处未应用的事物的解决方案。我想念什么？

Answer 1

您的容器用户具有gid=1002，但不是shared组gid=1003的成员。

除--user "1002:1002"外，您还需要--group-add 1003。比容器用户被允许使用gid=1003访问共享文件夹。

id应该显示：

I have no name!@7a5d2cc27491:/$ id
uid=1002 gid=1002 groups=1003

Docker容器如何通过组成员身份授予的权限写入已安装目录？

版本

场景

问题

1 个答案: