Dockerfile中USER指令后用CMD启动cron服务的问题及解决方法

以下是几种可行的解决方案，兼顾"默认非root用户运行"和"启动cron服务"的需求：

方案一：配置非root用户的用户级cron运行环境 #

Debian/Ubuntu系统中，普通用户可以运行用户级cron服务，只需确保相关目录权限正确。修改Dockerfile如下：

FROM openjdk:8
RUN apt-get update && apt-get -y install nano cron
RUN useradd -u 8877 dockeras
# 创建并配置cron所需目录权限
RUN mkdir -p /var/spool/cron/crontabs /var/run/crond \
    && chown -R dockeras:dockeras /var/spool/cron/crontabs /var/run/crond \
    && chmod -R 700 /var/spool/cron/crontabs
# 可选：预先复制用户的crontab文件到容器
# COPY --chown=dockeras:dockeras my_crontab /var/spool/cron/crontabs/dockeras
USER dockeras
CMD ["cron", "-f", "-L", "15"]

• -L 15参数用于指定日志级别，便于调试运行状态
• 普通用户的定时任务需写入/var/spool/cron/crontabs/dockeras文件，确保文件属主为dockeras，权限设为600
• 此方式运行的是用户级cron，仅能管理当前用户的定时任务，无法执行需root权限的系统操作

方案二：通过sudo允许非root用户启动系统cron #

如果必须运行系统级cron服务，可以安装sudo并配置权限，让非root用户无需密码启动cron：

FROM openjdk:8
RUN apt-get update && apt-get -y install nano cron sudo
RUN useradd -u 8877 dockeras
# 配置sudoers，允许dockeras无密码运行cron
RUN echo "dockeras ALL=(ALL) NOPASSWD: /usr/sbin/cron" >> /etc/sudoers.d/dockeras \
    && chmod 0440 /etc/sudoers.d/dockeras
USER dockeras
CMD ["sudo", "/usr/sbin/cron", "-f"]

• 此方式启动的是系统级cron，可以管理所有用户的定时任务，但依赖sudo工具
• 注意sudoers配置文件权限需设为0440，避免安全风险

方案三：使用支持非root运行的轻量级cron替代工具 #

如果不想依赖系统cron，可以使用容器友好的轻量级工具supercronic（Go语言编写，无需root权限）：

FROM openjdk:8
RUN apt-get update && apt-get -y install nano
RUN useradd -u 8877 dockeras
# 下载安装supercronic
RUN curl -fsSL https://github.com/aptible/supercronic/releases/download/v0.2.29/supercronic-linux-amd64 -o /usr/local/bin/supercronic \
    && chmod +x /usr/local/bin/supercronic
# 复制用户的crontab文件到容器
# COPY --chown=dockeras:dockeras crontab /home/dockeras/crontab
USER dockeras
CMD ["supercronic", "/home/dockeras/crontab"]

• supercronic专为容器设计，日志输出更直观，支持非root运行
• 需将定时任务写入指定的crontab文件，路径可自行调整

内容的提问来源于stack exchange，提问作者FueledByPizza