Docker只读根文件系统下特定目录可写持久化的替代方案咨询

主机侧预配置Overlay挂载，再绑定到容器 #

这个方案无需容器拥有SYS_ADMIN权限，也不会复制整个/etc目录，只持久化修改的差异数据，完全匹配你的需求：

步骤1：导出镜像中的原始/etc目录到主机 #

先从目标镜像中提取默认的/etc内容，作为overlay的lower层：

# 创建临时容器并导出/etc到主机目录
docker create --name temp-container nginx
mkdir -p /host/path/to/nginx-original-etc
docker cp temp-container:/etc /host/path/to/nginx-original-etc
docker rm temp-container

步骤2：在主机上创建Overlay的upper、work目录及挂载点 #

mkdir -p /host/path/to/overlay-etc/{upper,work,mount}

步骤3：挂载Overlay文件系统到主机的挂载点 #

mount -t overlay overlay \
  -o lowerdir=/host/path/to/nginx-original-etc/etc,upperdir=/host/path/to/overlay-etc/upper,workdir=/host/path/to/overlay-etc/work \
  /host/path/to/overlay-etc/mount

注意：如果需要开机自动挂载，可以将上述命令添加到/etc/fstab中。

步骤4：运行只读根文件系统的容器，绑定挂载预配置的Overlay目录 #

docker run --read-only \
  -v /host/path/to/overlay-etc/mount:/etc:rw \
  nginx

这样容器内的/etc是可写的，所有修改都会被存在主机的upper目录中（仅保存差异），重启容器后数据依然保留，且容器不需要任何额外权限。

补充：使用Docker Compose简化配置 #

如果用Compose管理容器，可以在docker-compose.yml中直接指定绑定挂载：

version: '3.8'
services:
  nginx:
    image: nginx
    read_only: true
    volumes:
      - /host/path/to/overlay-etc/mount:/etc:rw

内容的提问来源于stack exchange，提问作者sholmp