Rootless Docker指定-u参数后挂载目录仍为root所有的权限问题求助

我正尝试在Jenkins实例中配置以无root权限（Rootless）运行Docker容器。Jenkins启动容器时会传递-u参数指定Jenkins runner用户的ID，该用户名为“runner”，UID为3217，执行的命令如下：

docker run -u 3217:100 -v /opt/build/agent/job/:/opt/build/agent/job:rw,z image

Jenkins在容器内执行的第一个操作是：

touch /opt/build/agent/job/jenkins.log

但结果提示Permission denied。

进入容器执行id命令，返回结果符合预期：

uid=3217 gid=100(users) groups=100(users)

但执行ls -la /opt/build/agent/job时，发现所有文件和目录均属于root用户。

退出容器后，以runner用户身份查看该挂载点，所有文件均属于runner:users，可正常操作。

我无法移除Jenkins中的-u参数，想解决这个权限问题，是否有办法让Docker挂载目录时使用-u参数指定的权限？

以下是几种可行的解决方法：

1. 镜像内预先创建匹配用户并设置目录权限 #

构建Docker镜像时，提前创建UID=3217、GID=100的用户，并确保挂载目标目录权限对该用户开放：

RUN groupadd -g 100 users && \
    useradd -u 3217 -g 100 -m runner && \
    mkdir -p /opt/build/agent/job && \
    chown runner:users /opt/build/agent/job

容器启动后，挂载目录会继承镜像中预设的权限，3217用户可正常读写。

2. 挂载目录时指定UID/GID映射（Linux） #

挂载本地目录时，添加uid=和gid=参数强制指定容器内的文件所属权限：

docker run -u 3217:100 -v /opt/build/agent/job/:/opt/build/agent/job:rw,z,uid=3217,gid=100 image

此参数会让容器内看到的挂载文件权限与外部runner用户完全对齐。

3. 启动时动态调整目录权限 #

若无法修改镜像，可先以root身份调整挂载目录权限，再切换到目标用户执行任务：

docker run -u 0:0 -v /opt/build/agent/job/:/opt/build/agent/job:rw,z image sh -c "chown -R 3217:100 /opt/build/agent/job && exec su -s /bin/sh runner -c 'your-original-command'"

注意：镜像需包含chown和su命令，大目录会增加启动耗时。

4. Rootless Docker用户命名空间映射 #

若使用Rootless Docker，修改~/.config/docker/daemon.json配置用户命名空间映射：

{
  "userns-remap": "runner"
}

重启Docker服务后，容器内用户权限会自动与宿主机runner用户对齐，无需额外参数。

内容的提问来源于stack exchange，提问作者Jazerix