Jenkins使用docker run -u 1000:1000选项时sudo权限异常问题

问题背景 #

我有一个用于Jenkins流水线的Docker镜像，Dockerfile内容如下：

# base
FROM ros:noetic

# user
WORKDIR /home/user
RUN useradd --create-home --shell /bin/bash user \
    && echo "user:my_cool_pass" | chpasswd && adduser user sudo \
    && chown user .
USER user

构建命令：docker build -f DockerFile -t apalomer/test_repo:test_image .

两种启动方式的差异：

• 直接启动：docker run --rm -it apalomer/test_repo:test_image /bin/bash，执行sudo su输入密码可切换root；
• 指定UID/GID启动：docker run --rm -it -u 1000:1000 apalomer/test_repo:test_image /bin/bash，输入正确密码后报错：user is not in the sudoers file. This incident will be reported.

排查结果：容器内UID 1000的用户是user，sudo组包含user；主机UID 1000用户也在sudo组中。

限制条件：无法移除Dockerfile中的USER user指令，Jenkins启动容器默认带-u 1000:1000选项，流水线需要执行sudo命令。

问题解答 #

1. 能否让Jenkins不使用-u选项启动Docker容器？ #

可以，几种可行方式：

• Pipeline内指定用户名：在Jenkins Pipeline的Docker运行逻辑中，用-u user代替默认的-u 1000:1000。示例代码：

  docker.image('apalomer/test_repo:test_image').inside('-u user') {
      // 流水线逻辑，此处user用户可正常执行sudo
  }
  

  容器内user的UID本身就是1000，指定用户名不会改变用户身份，但能避免强制指定GID导致的组权限问题。
• 调整Jenkins Agent配置：如果用Kubernetes或其他容器编排的Jenkins Agent，修改Agent配置文件，移除securityContext.runAsUser和runAsGroup的强制设置，或将其值改为用户名而非UID。
• 全局Docker参数调整：在Jenkins全局配置的Docker相关设置中，修改默认启动参数覆盖-u 1000:1000。但此方式会影响所有Pipeline，需评估全局影响后操作。

2. 使用-u选项启动容器时，如何仍能执行sudo命令？ #

问题根源：用-u 1000:1000启动时，用户的有效主组被强制设为GID 1000，而容器内sudo组默认GID是27，导致user用户的有效组不包含sudo组，触发权限报错。以下是三种解决方法：

方法1：Dockerfile中指定用户UID/GID为1000

修改Dockerfile，明确创建UID/GID为1000的用户并加入sudo组：

# base
FROM ros:noetic

# user
WORKDIR /home/user
RUN groupadd -g 1000 user \
    && useradd -u 1000 -g 1000 --create-home --shell /bin/bash user \
    && echo "user:my_cool_pass" | chpasswd \
    && usermod -aG sudo user \
    && chown user:user .
USER user

重新构建镜像后，用-u 1000:1000启动时，用户主组是自身的user组，同时保持sudo组成员身份，可正常执行sudo。

方法2：将用户直接加入sudoers配置

在Dockerfile中添加配置，允许user用户无需密码执行所有sudo命令（适合Jenkins流水线自动执行场景）：

# base
FROM ros:noetic

# user
WORKDIR /home/user
RUN useradd --create-home --shell /bin/bash user \
    && echo "user:my_cool_pass" | chpasswd && adduser user sudo \
    && echo "user ALL=(ALL) NOPASSWD: ALL" | sudo tee /etc/sudoers.d/user \
    && chown user .
USER user

此方式跳过组权限检查，直接通过sudoers配置赋予user权限，即使启动时指定GID也能生效。

方法3：启动时附加sudo组

在Jenkins Pipeline的Docker启动参数中，添加-G sudo指定附加组，确保用户有效组包含sudo组：

docker.image('apalomer/test_repo:test_image').inside('-u 1000:1000 -G sudo') {
    // 流水线逻辑，此处可正常执行sudo
}

此方式无需修改镜像，仅调整启动参数即可解决权限问题。

内容的提问来源于stack exchange，提问作者apalomer