Windows主机中Linux Docker容器创建文件的Windows权限配置方法

由于Windows和Linux的权限模型存在本质差异，要让Linux容器创建的文件在Windows主机上仅对指定用户/组开放，可通过以下几种方式实现：

1. 配置Docker用户身份映射 #

Linux容器通过UID/GID识别用户，Docker可将容器内的UID/GID映射到Windows用户的SID，以此关联权限：

• 临时启动配置：在docker run命令中通过--user指定容器内运行的用户，确保该用户的UID/GID对应到Windows端的目标用户。例如，若容器内用builder用户（UID=1000），需提前在Windows端配置Docker将UID=1000映射到目标用户的SID。
• 全局守护进程配置：编辑Docker守护进程配置文件C:\ProgramData\Docker\config\daemon.json，添加用户映射规则，实现容器内用户与Windows用户的固定关联：

  {
    "userns-remap": "default"
  }
  

  配置后重启Docker服务，容器内创建的文件会自动继承映射用户的Windows权限。

2. 预先设置挂载目录的Windows ACL权限 #

在启动容器前，先对C:\tmp\data目录设置严格的访问权限：

1. 右键C:\tmp\data → 属性 → 安全选项卡 → 点击「编辑」
2. 删除列表中不需要的用户/组，仅保留目标Windows用户和组
3. 为保留的用户/组分配所需权限（如读取、写入、修改），并勾选「包括可从该对象的父项继承的权限」确保子文件继承权限

3. 容器内设置umask控制文件默认权限 #

在Dockerfile中添加umask配置，限制容器内创建文件的权限位，Docker会自动将其转换为对应的Windows权限：

# 设置umask，让新创建的文件仅对所有者开放
RUN umask 0077

容器内创建的文件权限会变为rw-------，映射到Windows后仅允许关联用户访问，配合目录的基础ACL设置可进一步锁定权限。

4. 批量修改已创建文件的Windows权限 #

若容器已创建大量文件，可使用Windows命令行工具icacls批量调整权限：

# 授予指定用户对目录及所有子文件/子目录的读写权限
icacls C:\tmp\data /grant "目标用户名:(OI)(CI)RW"
# 拒绝所有其他用户的读写权限
icacls C:\tmp\data /deny "Everyone:(OI)(CI)RW"

其中(OI)表示文件继承权限，(CI)表示目录继承权限，确保所有层级的文件都应用权限规则。

内容的提问来源于stack exchange，提问作者user2268909