Windows下Podman构建含超大UID用户的WildFly镜像问题

一、解决超大UID创建限制 #

在WSL或Podman主机环境（如WSL Ubuntu），调整系统UID范围限制：

• 编辑/etc/login.defs，更新以下配置（把最大值设为超过1000000000的数值）：

  SYS_UID_MAX    2000000000
  UID_MIN        1000
  UID_MAX        2000000000
  

• WSL环境执行wsl --shutdown重启生效，Podman环境重启服务即可。

二、避免镜像体积暴涨的用户创建与权限修改方案 #

镜像体积暴增的核心原因是：递归修改/opt/jboss权限时，overlayfs会对每个文件生成写时复制副本（元数据变更触发）。以下是优化方案：

方案1：直接修改原有jboss用户的UID（推荐） #

原WildFly镜像中jboss用户默认UID为1000，直接修改其UID为目标值，避免全量递归改权限：

FROM quay.io/wildfly/wildfly:33.0.2.Final

ARG TARGET_UID=1000000001

# 修改原有jboss用户/组的UID/GID，仅变更原UID为1000的文件权限
RUN usermod -u ${TARGET_UID} jboss && \
    groupmod -g ${TARGET_UID} jboss && \
    find /opt/jboss -uid 1000 -exec chown ${TARGET_UID}:jboss {} + && \
    find /opt/jboss -gid 1000 -exec chown jboss:${TARGET_UID} {} +

WORKDIR /opt/jboss
USER ${TARGET_UID}

CMD ["/opt/jboss/wildfly/bin/standalone.sh", "-b", "0.0.0.0"]

方案2：新建用户并高效修改权限 #

如果必须新建用户，用find分类型处理目录和文件，减少写时复制的文件数量：

FROM quay.io/wildfly/wildfly:33.0.2.Final

ARG TARGET_UID=1000000001

# 创建无登录权限的用户，指定已有目录为家目录
RUN groupadd -r jboss && \
    useradd -r -u ${TARGET_UID} -g jboss -d /opt/jboss -s /sbin/nologin wildfly-runner

# 先改目录权限，再改文件权限，减少不必要的元数据变更
RUN find /opt/jboss -type d -exec chown ${TARGET_UID}:jboss {} + && \
    find /opt/jboss -type f -exec chown ${TARGET_UID}:jboss {} + && \
    chmod -R u+rwx,g+rx /opt/jboss

WORKDIR /opt/jboss
USER ${TARGET_UID}

CMD ["/opt/jboss/wildfly/bin/standalone.sh", "-b", "0.0.0.0"]

三、镜像体积压缩优化 #

1. 多阶段构建（针对自定义部署）
   如果需要添加war包等自定义内容，用多阶段构建只复制必要文件，避免污染基础镜像层：

# 构建阶段：处理部署文件
FROM quay.io/wildfly/wildfly:33.0.2.Final AS builder

ARG TARGET_UID=1000000001
COPY my-app.war /opt/jboss/wildfly/standalone/deployments/

# 最终阶段：基于干净基础镜像，复制部署文件并设置权限
FROM quay.io/wildfly/wildfly:33.0.2.Final

ARG TARGET_UID=1000000001
RUN usermod -u ${TARGET_UID} jboss && \
    groupmod -g ${TARGET_UID} jboss && \
    find /opt/jboss -uid 1000 -exec chown ${TARGET_UID}:jboss {} +

# COPY时直接指定权限，跳过后续chown步骤
COPY --chown=${TARGET_UID}:jboss --from=builder /opt/jboss/wildfly/standalone/deployments/my-app.war /opt/jboss/wildfly/standalone/deployments/

WORKDIR /opt/jboss
USER ${TARGET_UID}
CMD ["/opt/jboss/wildfly/bin/standalone.sh", "-b", "0.0.0.0"]

2. 清理构建冗余
   构建时添加--no-cache避免缓存旧层；Debian/Ubuntu系镜像在RUN中清理apt缓存：

RUN usermod -u ${TARGET_UID} jboss && \
    groupmod -g ${TARGET_UID} jboss && \
    find /opt/jboss -uid 1000 -exec chown ${TARGET_UID}:jboss {} + && \
    rm -rf /var/cache/apt/* /var/lib/apt/lists/*

3. Podman镜像精简命令
   构建完成后清理无用镜像：

podman image prune -f

如果手动测试过容器，用commit生成精简镜像：

podman commit --change "USER ${TARGET_UID}" <container-id> <your-image-name>:<tag>

四、OpenShift部署要点 #

• 指定固定UID：在Deployment/DeploymentConfig中配置：

  securityContext:
    runAsUser: 1000000001
  

• SCC权限：确保项目使用的SecurityContextConstraints允许该UID范围，可申请anyuid SCC或联系集群管理员调整。
• 本地测试：用oc new-app部署时指定UID：

  oc new-app <your-image-name>:<tag> --env=OPENSHIFT_RUN_AS_USER=1000000001
  

内容的提问来源于stack exchange，提问作者Jürgen Dengel