如何通过Docker设置overlay2分层管理文件的默认权限

针对你提到的/var/lib/docker/overlay2/*/lower路径默认权限为-rw-rw-rw-的安全问题，完全可以通过Docker daemon配置指定默认创建权限，替代每次手动执行chmod的操作。

具体配置步骤： #

• 编辑Docker守护进程配置文件/etc/docker/daemon.json（文件不存在则新建）
• 在文件中添加umask配置，指定默认权限掩码：

  {
    "umask": "022"
  }
  

• 重启Docker服务使配置生效：

  systemctl restart docker
  

配置说明： #

• umask 022对应的文件默认权限是-rw-r--r--，目录默认权限是drwxr-xr-x，刚好消除其他用户的写入权限，和你手动执行chmod 744的效果一致。
• 该配置会作用于Docker创建的所有新文件和目录，包括overlay2的lower层。结合官方文档明确lower层为只读的说明，新生成的镜像分层会自动应用这个权限设置，无需后续手动调整。
• 已存在的lower层文件不会被自动修改，你可以手动执行一次chmod -R 744 /var/lib/docker/overlay2/*/lower统一修正历史文件权限，之后新生成的分层都会遵循配置的权限规则。

内容的提问来源于stack exchange，提问作者kwangmin kim