dotnet/runtime镜像非root用户挂载Docker Volume权限被拒问题

问题 #

在将文件保存到Docker Volume时遇到权限被拒错误，推测与dotnet/runtime镜像配置有关。

环境与配置 #

Dockerfile内容：

FROM mcr.microsoft.com/dotnet/runtime:8.0 AS base

USER app
RUN mkdir /home/app/data
WORKDIR /home/app

COPY ./publish .

ENTRYPOINT ["dotnet", "MyProject.dll"]

应用执行代码：

File.WriteAllText("/home/app/data/file.txt", "lorem ipsum")

容器运行命令：

docker run --rm \
    -v ./testdata:/home/app/data \
    -e RUN_ON_STARTUP=true \
    $image_name 

现象 #

• Windows挂载文件夹、Linux不挂载文件夹时，应用运行正常
• Linux环境挂载Volume时触发权限被拒

调试信息 #

Linux不挂载/home/app/data时：

app@10a002ed6d04:~$ id
uid=1654(app) gid=1654(app) groups=1654(app)
app@10a002ed6d04:~$ ls -ld /home/app/data
drwxr-xr-x 2 app app 4096 Jun 24 07:06 /home/app/data

Linux挂载/home/app/data时：

app@139b37a1d399:~$ id
uid=1654(app) gid=1654(app) groups=1654(app)
app@139b37a1d399:~$ ls -ld /home/app/data
drwxrwxr-x 2 1000 1000 4096 Jun 24 09:01 /home/app/data

需求：以非root用户运行应用，且用户运行镜像无需额外操作即可访问挂载目录，所有配置在Dockerfile中完成。

解决方案 #

问题根源 #

挂载的./testdata目录在宿主机上属于UID/GID为1000的用户（Linux系统默认第一个普通用户），Docker挂载目录时会保留宿主机的权限属性，导致容器内的app用户（UID/GID 1654）没有写入权限。

修改后的Dockerfile #

FROM mcr.microsoft.com/dotnet/runtime:8.0 AS base

# 临时切换root完成权限配置
USER root
RUN mkdir /home/app/data \
    # 将app用户加入宿主机常见的GID 1000用户组
    && usermod -aG 1000 app \
    # 设置目录权限允许组写入
    && chmod 775 /home/app/data \
    # 确保目录归属app用户
    && chown app:app /home/app/data

# 切回app用户运行应用
USER app
WORKDIR /home/app

COPY ./publish .

ENTRYPOINT ["dotnet", "MyProject.dll"]

逻辑说明 #

1. 临时用root操作：app用户没有系统级权限，必须先切换root才能修改用户组和目录权限。
2. 加入GID 1000组：匹配宿主机挂载目录的组权限，让app用户获得写入权限。
3. 调整目录权限：775权限确保组用户可写入，同时保持目录归属app用户，符合非root运行的要求。

这个方案覆盖了绝大多数Linux宿主机场景，因为GID 1000是普通用户的默认组ID。

内容的提问来源于stack exchange，提问作者Marcel