如何在AKS中以非root用户运行ASP.NET Core应用并监听80/443端口？

Linux系统中，1024以下的端口属于特权端口，非Root用户默认没有绑定权限，这就是你遇到Permission denied错误的核心原因。以下是几种可行的解决办法：

方法1：授予NET_BIND_SERVICE能力 #

Linux的CAP_NET_BIND_SERVICE能力允许进程绑定特权端口，无需以Root身份运行。有两种配置方式：

方式A：在Dockerfile中预先配置 #

找到容器内dotnet命令的实际路径（官方.NET镜像中通常为/usr/bin/dotnet），在切换用户前添加setcap命令：

EXPOSE 80
EXPOSE 443
...
RUN adduser --disabled-password --gecos '' myuser
# 给dotnet二进制文件添加绑定特权端口的能力
RUN setcap 'cap_net_bind_service=+ep' /usr/bin/dotnet
USER myuser
ENTRYPOINT ["dotnet", "my.dll"]

方式B：运行容器时添加能力参数 #

若不想修改Dockerfile，启动容器时通过--cap-add参数直接授予能力：

docker run --cap-add NET_BIND_SERVICE your-image-name

方法2：端口映射（安全推荐） #

让应用在容器内监听1024以上的非特权端口（比如8080/8443），再通过Docker端口映射将宿主机的80/443端口转发到容器内的非特权端口：

1. 修改Dockerfile的EXPOSE指令：

EXPOSE 8080
EXPOSE 8443
...
RUN adduser --disabled-password --gecos '' myuser
USER myuser
ENTRYPOINT ["dotnet", "my.dll"]

2. 在Program.cs中调整应用绑定的端口为8080和8443（比如在Kestrel配置里指定）。
3. 启动容器时添加端口映射参数：

docker run -p 80:8080 -p 443:8443 your-image-name

方法3：设置setuid位（不推荐） #

给dotnet二进制文件设置setuid权限，这样即使以非Root用户运行，进程也会拥有Root的端口绑定权限。但这种方式存在安全风险，不建议在生产环境使用：

RUN chmod u+s /usr/bin/dotnet

内容的提问来源于stack exchange，提问作者tlt