Docker Swarm环境下PostgreSQL 9.6容器挂载NFS存储的权限问题求助

根因分析 #

你遇到的核心问题是NFSv4的用户身份映射与容器内用户UID/GID不匹配，或者挂载选项未正确传递身份信息，导致PostgreSQL进程无法识别NFS目录的所有权。具体来说：

• 虽然你在Dockerfile中修改了postgres用户的UID/GID为域要求的数值，但NFSv4默认使用用户名（而非UID/GID）进行身份验证。如果Swarm节点本地没有该UID对应的域用户条目，NFS服务器会将客户端的身份映射为nobody，从而触发权限错误。
• 你的NFS挂载选项缺少强制使用UID/GID认证的参数，导致身份信息传递失效。
• 镜像内的chown操作仅作用于镜像内部目录，对挂载的NFS卷无影响——因为挂载会直接覆盖容器内的目录权限。

解决方案 #

方案1：调整NFS挂载选项（优先尝试） #

修改Docker Compose中NFS卷的挂载选项，强制传递正确的UID/GID并使用sys安全模式（基于UID/GID的认证）：

volumes:
 fossy_repo:
   driver: local
   driver_opts:
     type: nfs
     o: "addr=re0srt10003.eresz03.com,rw,nfsvers=4,uid=188044,gid=806642981,sec=sys,nosharecache"
     device: ":/vol/re0srt10003_vol011/NFS_customer_data_02/Production_data/nfs01/repo"
 fossy_pg_data:
   driver: local
   driver_opts:
     type: nfs
     o: "addr=re0srt10003.eresz03.com,rw,nfsvers=4,uid=188044,gid=806642981,sec=sys,nosharecache"
     device: ":/vol/re0srt10003_vol011/NFS_customer_data_02/Production_data/nfs01/db"

参数说明：

• uid=188044,gid=806642981：强制挂载时使用指定的UID/GID
• sec=sys：使用系统UID/GID进行认证，绕过NFSv4的用户名映射
• nosharecache：避免缓存挂载信息，确保身份实时生效

方案2：配置Swarm节点的NFS身份映射 #

如果方案1无效，需要在所有Swarm节点上配置rpcidmapd服务，使其正确识别域用户的UID/GID：

1. 编辑/etc/idmapd.conf，设置你的域名称：

[General]
Domain = eresz03.com

[Mapping]
Nobody-User = nobody
Nobody-Group = nogroup

2. 重启并启用rpcidmapd服务：

systemctl restart rpcidmapd
systemctl enable rpcidmapd

这会让NFS客户端将UID/GID正确映射为域用户身份，被NFS服务器认可。

方案3：验证NFS服务器导出配置 #

联系NFS管理员确认导出配置，确保：

• 没有设置root_squash或all_squash参数（这些会将客户端UID映射为nobody）
• 明确允许UID 188044和GID 806642981访问目标目录

验证步骤 #

1. 清理NFS服务器上的旧目录权限（如果之前有错误权限的文件）：

# 在NFS服务器上执行
chown -R 188044:806642981 /vol/re0srt10003_vol011/NFS_customer_data_02/Production_data/nfs01/db

2. 更新Docker Compose配置后，重新部署服务：

docker stack deploy -c docker-compose.yml <stack-name>

3. 查看容器日志确认启动状态：

docker service logs <service-name>-fossology-db -f

内容的提问来源于stack exchange，提问作者Abilash