Rootless Podman下非root用户运行SWAG容器权限问题求助

问题原因 #

Rootless Podman模式下，容器内的非root用户（linuxerver镜像默认用abc用户，UID/GID通常为911）没有权限在/var/lib下创建新目录，而SWAG容器启动时需要自动生成/var/lib/nginx目录，因此触发权限拒绝错误。

可行解决方案 #

方案一：自定义前置脚本临时提权创建目录 #

1. 编写权限修复脚本fix-perms.sh：

#!/bin/bash
# 创建目录并设置归属为abc用户
mkdir -p /var/lib/nginx
chown abc:abc /var/lib/nginx
# 执行镜像原启动入口
exec /init

2. 在Quadlet配置文件（如swag.container）中修改启动命令，临时以root身份运行脚本：

[Container]
Exec=/usr/bin/podman run --rm \
  --user root \
  --volume ./fix-perms.sh:/fix-perms.sh:ro \
  --entrypoint /fix-perms.sh \
  lscr.io/linuxserver/swag:latest
# 保留你的其他配置（端口、环境变量等）

脚本执行完权限修复后，会调用镜像原有的/init入口，该入口会自动切换回abc用户启动服务。

方案二：构建修改权限的自定义镜像 #

1. 创建Dockerfile：

FROM lscr.io/linuxserver/swag:latest
USER root
# 创建目录并设置正确归属
RUN mkdir -p /var/lib/nginx && chown abc:abc /var/lib/nginx
USER abc

2. 构建本地镜像：

podman build -t swag-fixed .

3. 在Quadlet配置中使用这个本地镜像替代官方镜像即可。

方案三：用tmpfs挂载运行时目录 #

由于/var/lib/nginx是nginx的临时运行目录，不需要持久化，可以直接用tmpfs挂载，Podman会自动处理目录权限：
在Quadlet配置中添加tmpfs参数：

[Container]
Exec=/usr/bin/podman run --rm \
  --tmpfs /var/lib/nginx:uid=911,gid=911 \
  lscr.io/linuxserver/swag:latest
# 保留你的其他配置

注：911是linuxerver镜像中abc用户的默认UID/GID，可通过podman inspect lscr.io/linuxserver/swag:latest | grep -A2 "User"确认具体数值。

内容的提问来源于stack exchange，提问作者user28534330