非root用户在AWS Lambda部署Docker化Angular应用的80端口权限问题

问题分析 #

Lambda执行环境中，除/tmp目录外其余文件系统均为只读状态。默认nginx镜像以nginx非root用户运行，该用户无权限在/var/cache/nginx下创建临时目录；同时80属于特权端口，非root用户无法直接监听，这两点共同导致了启动报错。

解决方案 #

通过修改Dockerfile和自定义nginx配置，适配Lambda的运行限制，具体步骤如下：

1. 自定义nginx配置文件 #

在Dockerfile同目录下创建nginx.conf，将缓存目录指向/tmp（Lambda唯一可写目录），并改用非特权端口8080：

user nginx;
worker_processes auto;
error_log /var/log/nginx/error.log warn;
pid /var/run/nginx.pid;

events {
    worker_connections 1024;
}

http {
    include       /etc/nginx/mime.types;
    default_type  application/octet-stream;

    log_format  main  '$remote_addr - $remote_user [$time_local] "$request" '
                      '$status $body_bytes_sent "$http_referer" '
                      '"$http_user_agent" "$http_x_forwarded_for"';

    access_log  /var/log/nginx/access.log  main;

    sendfile        on;
    keepalive_timeout  65;

    # 将所有nginx临时目录指向/tmp
    client_body_temp_path /tmp/client_temp;
    proxy_temp_path /tmp/proxy_temp;
    fastcgi_temp_path /tmp/fastcgi_temp;
    uwsgi_temp_path /tmp/uwsgi_temp;
    scgi_temp_path /tmp/scgi_temp;

    server {
        listen 8080; # 改用非特权端口
        server_name localhost;

        root /usr/share/nginx/html;
        index index.html index.htm;

        # 适配Angular单页应用路由
        location / {
            try_files $uri $uri/ /index.html;
        }
    }
}

2. 更新Dockerfile #

替换默认nginx配置，确保/tmp目录权限正确，指定非root用户启动：

FROM node:latest as node
WORKDIR /app
COPY . .
RUN npm install
RUN npm run build --prod

FROM nginx:alpine
# 复制自定义nginx配置
COPY nginx.conf /etc/nginx/nginx.conf
# 复制Angular构建产物
COPY --from=node /app/dist/helloworld/ /usr/share/nginx/html
# 创建/tmp下的nginx临时目录并赋予权限
RUN mkdir -p /tmp/client_temp /tmp/proxy_temp /tmp/fastcgi_temp /tmp/uwsgi_temp /tmp/scgi_temp && \
    chown -R nginx:nginx /tmp/
# 暴露8080端口
EXPOSE 8080
# 以nginx用户启动nginx（前台运行）
CMD ["nginx", "-g", "daemon off;"]

3. Lambda函数端口配置 #

在Lambda控制台创建函数时，确认容器镜像的端口配置为8080（Lambda默认期望容器监听8080端口，若需修改可在函数配置的「容器镜像」版块调整）。

关键说明 #

• Lambda仅/tmp目录具备可写权限，必须将nginx所有临时缓存目录迁移至此。
• 非root用户无法监听1-1023范围内的特权端口，改用8080后，Lambda会自动完成外部请求到容器端口的映射。
• Angular单页应用需保留try_files配置，避免路由刷新时出现404错误。

内容的提问来源于stack exchange，提问作者Mr.DevEng