Container App部署后无法运行但本地docker run正常，求排查方案

核心问题排查与修复 #

1. Volume挂载覆盖镜像内关键文件 #

你的Terraform配置中将azure-credentials卷直接挂载到了/app目录：

volumeMounts = [
  {
    mountPath  = "/app"
    volumeName = "azure-credentials"
  },
  ...
]

Docker镜像里的所有脚本（start_script.sh、renew_script.sh等）都存放在/app下，挂载卷会完全覆盖该目录的原有内容，导致Container App启动时找不到要执行的脚本，直接进入无响应的"处理中"状态。

修复方案：

• 修改卷挂载路径，避免覆盖脚本目录，比如挂载到/app/credentials：

  volumeMounts = [
    {
      mountPath  = "/app/credentials"
      volumeName = "azure-credentials"
    },
    {
      mountPath  = "/etc/letsencrypt"
      subPath    = "/proxy/certbot"
      volumeName = "certbot-volume"
    }
  ]
  

• 同步修改start_script.sh中读取凭据文件的路径为/app/credentials/azure_credentials.ini。

2. 确保容器进程保持前台运行 #

本地运行时，镜像的CMD ["sleep", "infinity"]会在start_script.sh执行后维持容器存活。但你在Container App中用command = ["/bin/bash","-c","./start_script.sh"]替换了原有ENTRYPOINT+CMD组合，若start_script.sh执行完毕后没有持续运行的前台进程，容器会直接退出，触发Container App反复重启，表现为卡住状态。

修复方案：

• 方案一：移除Container App中的command配置，让镜像使用原有ENTRYPOINT+CMD逻辑，start_script.sh执行后自动运行sleep infinity保持容器存活；
• 方案二：在start_script.sh末尾添加前台运行的命令，比如让cron前台运行（适配你的证书续期场景）：

  # 替换原脚本末尾的后台启动逻辑
  cron -f >> /proc/self/fd/1 2>> /proc/self/fd/2
  

3. 强制日志输出到标准流 #

默认情况下，Container App仅收集容器的stdout和stderr输出。如果你的脚本将日志写入文件而非终端，就会出现无日志可查的情况。

修复方案：

• 在脚本中给关键命令添加标准流重定向，比如：

  # 将certbot命令输出打到标准流
  certbot renew --dns-azure --dns-azure-credentials /app/credentials/azure_credentials.ini >> /proc/self/fd/1 2>> /proc/self/fd/2
  

4. 核对环境变量与权限一致性 #

• 确认Container App配置的环境变量和本地运行时完全匹配，避免遗漏关键变量导致脚本执行失败；
• 检查azure-credentials卷中文件的权限，确保azure_credentials.ini的权限为600（和Dockerfile中设置的一致），防止脚本读取凭据时出现权限错误。

验证步骤 #

1. 先移除Terraform中的volumeMounts配置，测试镜像能否正常启动并输出日志；
2. 逐步添加卷挂载和其他配置，每一步验证容器状态；
3. 使用Azure CLI查看实时日志：

az containerapp logs show --name <你的容器应用名> --resource-group <你的资源组名> --follow

内容的提问来源于stack exchange，提问作者Navy