Docker容器挂载NFS后执行chgrp报Operation not permitted错误

问题 #

我在MacBook Pro上通过docker-compose.yml部署GitLab服务，原本使用本地目录作为数据卷：

volumes:
   - './config:/etc/gitlab'
   - './logs:/var/log/gitlab'
   - './data:/var/opt/gitlab'

现在想切换到Synology NAS的NFS存储，执行以下命令创建挂载点：

sudo mkdir /Volumes/my-backup
sudo mount -t nfs -o resvport,rw nas.mydomain.com:/volume1/my-backup /Volumes/my-backup

修改docker-compose.yml的卷配置为：

volumes:
  - '/Volumes/my-backup/gitlab-mount-volume/config:/etc/gitlab'
  - '/Volumes/my-backup/gitlab-mount-volume/logs:/var/log/gitlab'
  - '/Volumes/my-backup/gitlab-mount-volume/data:/var/opt/gitlab'

其中/Volumes/my-backup/gitlab-mount-volume/data/目录是通过cp -a ./data/* /Volumes/my-backup/gitlab-mount-volume/data/命令复制的，-a参数保留了文件所有者、组和权限。

执行docker compose up后出现错误：

gitlab-service-web-1  | ---- Begin output of chgrp git /var/opt/gitlab/git-data/repositories ----
gitlab-service-web-1  | STDOUT:
gitlab-service-web-1  | STDERR: chgrp: changing group of '/var/opt/gitlab/git-data/repositories': Operation not permitted
gitlab-service-web-1  | ---- End output of chgrp git /var/opt/gitlab/git-data/repositories ----
gitlab-service-web-1  | Ran chgrp git /var/opt/gitlab/git-data/repositories returned 1

已通过cat /etc/export确认NFS挂载点配置了no_root_squash选项：

192.168.123.123(rw,async,no_wdelay,crossmnt,insecure,no_root_squash,insecure_locks,sec=sys,anonuid=1025,anongid=100)

请问为何Docker容器内执行chgrp命令会出现“Operation not permitted”错误？

分析与解决方案 #

出现这个错误的核心是macOS NFS客户端与Synology NFS服务的权限映射不匹配，即便配置了no_root_squash，仍存在以下关键问题：

1. 用户/组ID跨系统不匹配 #

GitLab容器内的git用户组ID默认是1000，但你Synology NAS的anongid设置为100（对应NAS的users组），anonuid是1025（对应NAS的admin用户）。容器内非root用户（比如git用户，UID/GID 1000）无法在NAS上找到对应ID的用户/组，导致权限变更操作被拒绝。

2. macOS NFS挂载的附加限制 #

macOS的NFS客户端默认会启用额外的用户ID映射规则，即便NAS端设置了no_root_squash，macOS仍可能对容器内的用户权限做限制。加上你通过cp -a保留了本地目录的UID/GID（和NAS上的ID完全不对应），容器内的git用户无法修改不属于自己的文件/目录权限。

解决步骤： #

• 调整NAS的NFS导出配置，匹配容器内的GID/UID
  修改Synology NAS的NFS导出规则，将anonuid和anongid改为容器内git用户的默认UID/GID（1000），修改后的配置类似：

  192.168.123.123(rw,async,no_wdelay,crossmnt,insecure,no_root_squash,insecure_locks,sec=sys,anonuid=1000,anongid=1000)
  

  修改后重启Synology的NFS服务。

• 重新挂载NFS并修正目录权限

  1. 卸载当前挂载：

     sudo umount /Volumes/my-backup
     

  2. 重新挂载NFS（添加vers=4参数避免协议兼容性问题）：

     sudo mount -t nfs -o resvport,rw,vers=4 nas.mydomain.com:/volume1/my-backup /Volumes/my-backup
     

  3. 在NAS的SSH终端中，直接修改目标目录的权限：

     chown -R 1000:1000 /volume1/my-backup/gitlab-mount-volume/data
     

     （不要通过macOS的cp -a保留旧权限，直接在NAS上设置匹配容器的权限）

• 调整Docker挂载的权限参数
  在docker-compose.yml中添加uid和gid参数，强制指定挂载目录的用户/组ID匹配容器内的git用户：

  volumes:
    - '/Volumes/my-backup/gitlab-mount-volume/config:/etc/gitlab:rw,uid=1000,gid=1000'
    - '/Volumes/my-backup/gitlab-mount-volume/logs:/var/log/gitlab:rw,uid=1000,gid=1000'
    - '/Volumes/my-backup/gitlab-mount-volume/data:/var/opt/gitlab:rw,uid=1000,gid=1000'
  

完成以上步骤后，重新执行docker compose up即可解决权限变更问题。

内容的提问来源于stack exchange，提问作者Brian