无root权限Docker中读取所属组文件遇权限拒绝问题求助

问题原因 #

容器采用独立的用户/组命名空间，宿主机组A的GID在容器内部没有对应的组条目，因此挂载后的文件组显示为nogroup。虽然你通过--user指定了与宿主机一致的UID和GID，但容器内进程的有效组权限无法匹配文件的组权限，最终导致读取失败。

解决方案 #

方案一：启动容器时动态创建对应组和用户 #

1. 先获取宿主机当前用户UID和组A的GID：

HOST_UID=$(id -u)
HOST_GID=$(getent group A | cut -d: -f3)

2. 用以下命令启动容器，先在容器内创建匹配的组和用户，再切换到该用户：

docker run -it -v /path/to_file/my_file:/data --rm my-image:latest \
  sh -c "groupadd -g $HOST_GID container_group && useradd -u $HOST_UID -g $HOST_GID container_user && su container_user -c 'bash'"

进入容器后即可正常读取/data/my_file。

方案二：自定义镜像预先添加对应组 #

如果是你自己维护的镜像，可以在Dockerfile中添加对应GID的组（替换为宿主机组A的实际GID，比如1001）：

FROM my-image:latest
RUN groupadd -g 1001 group_a

构建新镜像后，使用原命令启动容器：

docker run -it --user $(id -u):$(id -g A) -v /path/to_file/my_file:/data --rm my-new-image:latest

此时容器内存在匹配GID的组，文件组会显示为group_a，进程可正常读取文件。

方案三：临时调整文件权限（不推荐） #

若允许修改宿主机文件权限，可临时给其他用户添加读权限（存在安全风险，仅临时测试用）：

chmod o+r /path/to_file/my_file

此方法会降低文件安全性，不建议长期使用。

内容的提问来源于stack exchange，提问作者Thomas Schillaci