在 Docker 中以非 root 身份安装“命名卷”

Question

有什么方法可以以非 root 用户身份挂载命名卷吗？我试图避免在每个 Dockerfile 中运行

chown

，但我需要非 root 用户可以写入挂载，以便能够写入由镜像中的构建创建的工件

这就是我正在尝试的

docker run --rm -it -v /home/bob/dev/:/src/dev -v builds:/mnt/build --name build hilikus/build /bin/bash

但是对于第二个坐骑我得到了

[user@42f237282128 ~]$ ll /mnt
total 4
drwxr-xr-x 2 root root 4096 Sep 18 19:29 build

我的另一个安装（

/src/dev/

）由user拥有，而不是root拥有，所以它提供了我需要的东西；但是，我无法对指定的卷执行相同的操作。

Answer 1

指定卷会初始化为该位置的映像内容，因此您需要在 Dockerfile 中设置权限：

$ cat df.vf-uid
FROM busybox
RUN mkdir -p /data && echo "hello world" > /data/hello && chown -R 1000 /data

$ docker build -t test-vf -f df.vf-uid .
Sending build context to Docker daemon 23.06 MB
Step 1 : FROM busybox
 ---> 2b8fd9751c4c
Step 2 : RUN mkdir -p /data && echo "hello world" > /data/hello && chown -R 1000 /data
 ---> Using cache
 ---> 41390b132940
Successfully built 41390b132940

$ docker run -v test-vol:/data --rm -it test-vf ls -alR /data
/data:
total 12
drwxr-xr-x    2 1000     root          4096 Sep 19 15:26 .
drwxr-xr-x   19 root     root          4096 Sep 19 15:26 ..
-rw-r--r--    1 1000     root            12 Aug 22 11:43 hello

Answer 2

如果您使用新的

--mount

语法而不是旧的

-v/--volume

语法，则可以通过

uid

或类似的方式将

docker volume create somename --opt -o=uid=1000

分配给卷的内容。

请参阅 https://docs.docker.com/engine/reference/commandline/volume_create/#driver-specific-options

我还没有完全测试它以非 root 身份运行或使用

dockremap

动态用户与 userns-map 选项，但希望很快。

Answer 3

您可以运行以下 docker 命令并更改所有权，如下所示：

docker run --rm -v builds:/target alpine:latest sh -c 'chown 1000:1000 /target'

该命令将创建“构建”命名卷，将其安装到以 root 身份运行的小型容器，并将其所有权更改为用户 ID 1000。

现在，当在容器上安装指定卷时，它将以非 root 身份安装

Answer 4

命名卷的权限源自创建该卷的文件夹的权限。假设使用默认驱动程序，您可以使用

找到该卷的文件夹

$ docker volume inspect mynamedvolume
[
    {
        "CreatedAt": "2000-01-01T00:00:00Z",
        "Driver": "local",
        "Labels": null,
        "Mountpoint": "/var/lib/docker/volumes/mynamedvolume/_data",
        "Name": "mynamedvolume",
        "Options": null,
        "Scope": "local"
    }
]

注意

Mountpoint

条目。

然后您可以使用常用方法更改其权限

chown 1000:1000 /var/lib/docker/volumes/mynamedvolume/_data

当您下次挂载它时，它将具有匹配的用户。

自动创建的命名卷通常会使用

local

驱动程序，并创建匹配的挂载点为

root:root

。因此，除非对配置进行任何非常不寻常的更改，否则上述内容应该有效。