TestContainers基于Docker Compose部署Samba服务器权限报错求助

1. 补全缺失的Linux能力 #

instantlinux/samba-dc镜像必须依赖CAP_SYS_ADMIN权限才能处理NT ACL操作，TestContainers默认不会自动添加这个能力，你需要在代码里显式配置：

val sambaContainer = GenericContainer("instantlinux/samba-dc:latest")
    .withCapabilities(setOf("SYS_ADMIN"))
    // 其他配置项...

优先用单个能力配置，不要直接开全特权模式；如果是Docker Desktop的WSL2后端，可能需要额外确认WSL2的权限设置。

2. 修正存储卷权限映射 #

本地docker-compose用的主机目录卷权限是继承主机的，但TestContainers默认创建的卷可能权限不匹配，导致容器内操作ACL被拒：

• 绑定主机目录时，先强制设置容器内目录权限：

sambaContainer.withFileSystemBind("/host/samba/data", "/var/lib/samba", BindMode.READ_WRITE)
    .withCommand("chmod 777 /var/lib/samba && /sbin/init")

• 如果是SELinux环境，绑定卷时加上z标记：

sambaContainer.withCreateContainerCmdModifier { cmd ->
    cmd.hostConfig!!.addBind(
        Bind("/host/samba/data", "/var/lib/samba", BindMode.READ_WRITE)
            .withMode("z")
    )
}

3. 关闭用户命名空间隔离 #

部分环境下TestContainers默认启用用户命名空间映射，这会让容器内的root用户没有真实主机root权限，没法执行需要CAP_SYS_ADMIN的操作。解决方法：

• 在~/.testcontainers.properties里加一行：

docker.user.namespace=false

• 或者在代码里直接设置：

TestcontainersConfiguration.getInstance().updateUserNamespace(false)

4. 对齐docker-compose的环境变量与启动命令 #

确保TestContainers里的环境变量、启动命令和你本地docker-compose完全一致，比如域、管理员密码这些关键参数：

sambaContainer.withEnv(mapOf(
    "DOMAIN" to "TEST.LOCAL",
    "ADMIN_PASS" to "SecurePass123!",
    "DNS_FORWARDER" to "8.8.8.8"
))
// 不要改镜像默认的启动命令，用/sbin/init就行
.withCommand("/sbin/init")

5. 拉取完整日志定位细节 #

如果上面的方法都没用，把容器完整日志打出来看更详细的错误：

sambaContainer.followOutput(Slf4jLogConsumer(LoggerFactory.getLogger("SambaDC")))
// 或者启动失败后直接打印日志
println(sambaContainer.logs)

内容的提问来源于stack exchange，提问作者gstackoverflow