Azure容器应用中Memgraph挂载卷权限错误及配置咨询

问题背景 #

本地环境和Azure容器应用中，挂载外部目录到Memgraph-Mage容器时均出现权限拒绝错误，但使用Docker Compose命名卷（非绑定外部目录）可正常运行。尝试过chmod -R 777 /var/lib/memgraph等权限设置操作，问题未解决。

无效配置（绑定外部目录） #

services:
  app:
    build:
      context: .
      dockerfile: app/Dockerfile
    image: app:latest
    container_name: app
    volumes:
      - ./local_volume/app:/mnt/data
    ports:
      - "8000:8000"
    restart: always
    environment:
      - Environment=${Environment}
    depends_on:
      memgraph-mage:
        condition: service_healthy

  memgraph-mage:
    image: memgraph/memgraph-mage
    container_name: memgraph-mage
    ports:
      - "7687:7687"
      - "7444:7444"
    restart: always
    volumes:
      - ./local_volume/memgraph/data:/var/lib/memgraph
      - ./local_volume/memgraph/log:/var/log/memgraph
    healthcheck:
      test: ["CMD-SHELL", "echo 'RETURN 0;' | mgconsole || exit 1"]
      interval: 10s
      timeout: 5s
      retries: 3
      start_period: 0s
    environment:
      - MEMGRAPH_USER=${MEM_USER}
      - MEMGRAPH_PASSWORD=${MEM_PASSWORD}

networks:
  default:
    driver: bridge

有效配置（命名卷） #

services:
  app:
    build:
      context: .
      dockerfile: app/Dockerfile
    image: app:latest
    container_name: app
    volumes:
      - ./local_volume/app:/mnt/data
    ports:
      - "8000:8000"
    restart: always
    environment:
      - Environment=${Environment}
    depends_on:
      memgraph-mage:
        condition: service_healthy

  memgraph-mage:
    image: memgraph/memgraph-mage
    container_name: memgraph-mage
    ports:
      - "7687:7687"
      - "7444:7444"
    restart: always
    volumes:
      - mg_lib:/var/lib/memgraph
      - mg_log:/var/log/memgraph
    healthcheck:
      test: ["CMD-SHELL", "echo 'RETURN 0;' | mgconsole || exit 1"]
      interval: 10s
      timeout: 5s
      retries: 3
      start_period: 0s
    environment:
      - MEMGRAPH_USER=${MEM_USER}
      - MEMGRAPH_PASSWORD=${MEM_PASSWORD}

networks:
  default:
    driver: bridge

volumes:
    mg_lib:
    mg_log:

解决方案 #

一、本地环境绑定外部目录的修复 #

Memgraph-Mage容器内部默认使用memgraph用户（UID/GID通常为10001）运行进程，绑定外部目录时，宿主目录的权限需要匹配容器内用户的权限：

• 修改宿主目录权限：
  在宿主机器上执行以下命令，将绑定目录的所有权设置为容器内的用户ID：

  sudo chown -R 10001:10001 ./local_volume/memgraph/data
  sudo chown -R 10001:10001 ./local_volume/memgraph/log
  

  若不确定容器内用户的UID/GID，可通过以下命令查看：

  docker run --rm memgraph/memgraph-mage id -u memgraph
  docker run --rm memgraph/memgraph-mage id -g memgraph
  

• 临时调整运行用户（不推荐生产环境）：
  若不想修改宿主目录权限，可在Compose中指定容器以root用户运行：

  memgraph-mage:
    # ...其他配置
    user: "root"
  

二、Azure容器应用中的正确配置 #

Azure容器应用无法直接修改宿主目录权限，需通过存储卷配置解决：

1. 创建Azure存储资源：
   在Azure门户创建存储账户，再在账户下创建两个文件共享（如memgraph-data和memgraph-log）。
2. 挂载存储卷到容器：
   进入容器应用的「卷」配置页面，添加存储卷，选择对应存储账户和文件共享，分别设置挂载路径为/var/lib/memgraph和/var/log/memgraph，访问模式设为ReadWriteMany或ReadWriteOnce。
3. 匹配卷访问权限：
   在容器环境变量中指定与Azure存储卷兼容的UID/GID：

   environment:
     - MEMGRAPH_USER=${MEM_USER}
     - MEMGRAPH_PASSWORD=${MEM_PASSWORD}
     - MEMGRAPH_UID=1000
     - MEMGRAPH_GID=1000
   

4. 使用内置命名卷（推荐）：
   若不需要外部持久化存储，可使用Azure容器应用的emptyDir类型命名卷，挂载到目标路径，避免权限问题。

内容的提问来源于stack exchange，提问作者Pro Grammer S