如何调整Retool容器UID适配OpenShift并缩减镜像体积

问题根源 #

直接用groupmod/usermod修改UID/GID会遍历系统所有文件并更新权限，原镜像中这类文件数量极多，导致Docker分层存储记录大量修改，最终镜像体积暴增。同时Retool对运行用户的名称（retool_user）和组（retool_user_group）有严格校验，但不一定强制固定UID/GID。

解决方案 #

方案1：调整OpenShift安全配置（推荐，无需修改镜像） #

如果拥有集群管理员权限，可通过修改Security Context Constraints（SCC）允许Pod使用固定UID 1001：

• 创建自定义SCC文件（比如retool-scc.yaml）：

  apiVersion: security.openshift.io/v1
  kind: SecurityContextConstraints
  metadata:
    name: retool-scc
  allowPrivilegeEscalation: false
  runAsUser:
    type: MustRunAs
    uid: 1001
  seLinuxContext:
    type: MustRunAs
  supplementalGroups:
    type: MustRunAs
    ranges:
    - min: 1001
      max: 1001
  fsGroup:
    type: MustRunAs
    ranges:
    - min: 1001
      max: 1001
  

• 应用SCC：oc apply -f retool-scc.yaml
• 将SCC绑定到你的服务账户：oc adm policy add-scc-to-user retool-scc system:serviceaccount:<你的项目名>:default
• 重新部署Retool，Pod将以UID 1001运行，匹配Retool的要求。

方案2：高效修改镜像用户（无集群权限时使用） #

避免修改全系统文件，仅转移Retool相关目录的权限，并重命名用户/组保持原名称：
修改Dockerfile如下（替换/retool为实际Retool工作目录）：

FROM tryretool/code-executor-service:latest

# 创建新用户组和用户，使用目标UID/GID
RUN groupadd -g 1001260000 temp_group && \
    useradd -u 1001260000 -g temp_group temp_user && \
    # 转移Retool核心目录的权限到新用户
    chown -R temp_user:temp_group /retool && \
    # 删除原用户组和用户
    userdel retool_user && \
    groupdel retool_user_group && \
    # 重命名新用户/组为Retool要求的名称
    usermod -l retool_user temp_user && \
    groupmod -n retool_user_group temp_group

构建镜像后，仅修改了Retool相关目录的权限，镜像体积不会大幅膨胀，同时保持了Retool要求的用户/组名称，通过校验。

方案3：跳过Retool用户校验（需确认官方支持） #

部分容器化应用提供环境变量或配置项跳过严格的用户校验，可检查Retool的官方文档，查看是否有类似SKIP_UID_CHECK=true的环境变量，在Deployment中添加该环境变量即可绕过UID不匹配的错误。

内容的提问来源于stack exchange，提问作者Epic555