Azure容器应用挂载Azure存储文件共享至Postgres镜像权限问题

问题背景 #

将Azure存储账户的文件共享挂载至运行Postgres镜像的Azure容器应用时，虽能成功挂载并查看文件，但挂载到Postgres指定数据目录（如/fish）时触发权限错误，日志显示：

initdb: error: could not change permissions of directory "/fish": Operation not permitted

The files belonging to this database system will be owned by user "postgres".

chmod: /fish: Operation not permitted

核心原因是挂载点默认由root用户拥有，而Postgres要求数据目录归postgres用户所有，容器内无法通过postgres身份修改root拥有目录的权限。

解决方案 #

1. 构建自定义Postgres镜像预设置权限 #

官方Postgres镜像默认以postgres用户启动，无法修改root权限的挂载目录。可构建自定义镜像，在构建阶段提前创建目标目录并设置权限：

FROM postgres:latest
USER root
# 创建目标目录并赋予postgres用户权限
RUN mkdir -p /fish && chown postgres:postgres /fish
USER postgres

将镜像推送到Azure容器注册表后，用于Azure容器应用部署。

2. 覆盖容器启动命令，先调整权限 #

在Azure容器应用的配置中，修改启动命令，先以root身份调整挂载目录权限，再切换到postgres用户启动服务：

chown postgres:postgres /fish && su postgres -c "postgres"

需确保容器应用允许以root身份执行初始命令。

3. 修改Azure存储文件共享的默认POSIX权限 #

Azure存储文件共享支持设置默认UID/GID和权限，可匹配容器内postgres用户的UID（通常为999）和GID（通常为999），让挂载后的目录自动拥有对应权限：

az storage share update --name <你的文件共享名称> --account-name <你的存储账户名称> --default-permissions "u=rwx,g=rwx,o=rx" --default-uid 999 --default-gid 999

修改后重启容器应用生效。

4. 变通方案：挂载到子目录 #

若直接挂载到目标目录有困难，可先挂载到临时目录，再在启动时创建postgres权限的子目录并指定为PGDATA：

mkdir -p /mnt/storage/postgres-data && chown postgres:postgres /mnt/storage/postgres-data && export PGDATA=/mnt/storage/postgres-data && su postgres -c "postgres"

内容的提问来源于stack exchange，提问作者Bahamas