拒绝Docker写入权限

Question

我试图用docker运行一个简单的命令，读取我的主目录中的文件，并在本地机器上的同一目录中写入输出文件（/home/userxyz/projects/data）。“数据”文件夹属于我（userxyz）和具有R/W权限的同名组（userxyz）。

我用这样的Dockerfile构建了一个图像（下面介绍如何将用户添加到Docker容器？）：

FROM osgeo/gdal:alpine-small-latest

RUN mkdir /usr/tmp

RUN addgroup -S userxyz \
  && adduser -S -D -h /usr/tmp userxyz userxyz \
  && chown -R userxyz:userxyz /usr/tmp

USER userxyz

WORKDIR /usr/tmp

以及：

docker build -t userxyz/test .

我运行docker时使用了：

docker run --rm -v /home/userxyz/projects/data:/usr/tmp userxyz/test gdal_translate -ot UInt32 /usr/tmp/input.tif /usr/tmp/output.tif

然而，我仍然得到：

ERROR 4: Attempt to create new tiff file `/usr/tmp/output.tif' failed: Permission denied

当我只读取文件时，它可以工作：

docker run --rm -v /home/userxyz/projects/data:/usr/tmp userxyz/test gdalinfo /usr/tmp/input.tif

知道写入权限有什么问题吗？

编辑：当打开数据文件夹为“其他人”读/写时，文件是由用户正确创建的，所以我猜是用户名属性？如何才能使文件由用户xyz创建，而不是由用户500100创建？




Answer 1

您必须根据组ID而不是组名在组中添加用户。用户名和组名在容器中是隔离的，因此无法工作。

您可以在主机上使用以下命令在文件中找到组ID:

cat /etc/group | grep userxyz

找到后，您将用户添加到Dockerfile中的组：

FROM osgeo/gdal:alpine-small-latest

RUN mkdir /usr/tmp

RUN groupadd -g $GID userxyz \
  && adduser -S -D -h /usr/tmp userxyz userxyz \
  && chown -R userxyz:userxyz /usr/tmp

USER userxyz

WORKDIR /usr/tmp

其中，用组ID替换$GID。

Answer 2

虽然你设置了同一个用户

因此，仅复制用户名是不够的，还需要复制UID、GID，例如next：

Dockerfile：

FROM ubuntu:16.04

ARG UID
ARG GID

RUN groupadd -g $GID userxyz
RUN useradd -m -u $UID -g $GID -s /bin/bash userxyz

生成命令：

docker build -t abc:1 --build-arg UID=`id userxyz -u` --build-arg GID=`id userxyz -g` .

解释：

id userxyz-u