以非root用户运行Cron任务并输出至Docker日志的问题

问题核心 #

非root用户没有直接写入Docker主进程标准输出（/proc/1/fd/1）和标准错误（/proc/1/fd/2）的权限，直接在系统crontab中指定用户并重定向会导致输出丢失。

可行方案 #

方案一：通过root中转输出（最简单） #

利用root权限执行su切换到目标用户运行任务，再由root将输出重定向到Docker日志，绕开权限限制。

修改后的Dockerfile：

FROM continuumio/miniconda3:latest

# 安装cron
RUN apt-get update && apt-get -y install cron

# 创建指定UID/GID的用户
RUN groupadd -g 1006 myuser && useradd -u 1006 -g 1006 myuser

# 配置系统crontab：root执行su切换到myuser跑任务，输出重定向到Docker日志
RUN echo "* * * * * root su - myuser -c 'echo \"WEEEEE\"' > /proc/1/fd/1 2>/proc/1/fd/2" >> /etc/crontab

# 前台启动cron
CMD ["cron", "-f", "-l", "2"]

如果要运行Python脚本，只需替换echo命令为脚本执行逻辑：

# 复制脚本到用户目录并设置归属
COPY my_script.py /home/myuser/
RUN chown myuser:myuser /home/myuser/my_script.py

# 更新crontab行
RUN echo "* * * * * root su - myuser -c 'python /home/myuser/my_script.py' > /proc/1/fd/1 2>/proc/1/fd/2" >> /etc/crontab

方案二：使用用户crontab+共享管道（更规范） #

创建一个非root用户可写入的管道，让cron任务输出到管道，再由主进程监听管道内容并输出到Docker日志，权限更安全。

Dockerfile示例：

FROM continuumio/miniconda3:latest

# 安装cron
RUN apt-get update && apt-get -y install cron

# 创建用户
RUN groupadd -g 1006 myuser && useradd -u 1006 -g 1006 myuser

# 创建共享日志管道，设置归属为myuser
RUN mkfifo /var/log/cron-pipe && chown myuser:myuser /var/log/cron-pipe

# 配置myuser的个人crontab：将任务输出写入管道
RUN su - myuser -c "echo '* * * * * echo \"WEEEEE\" > /var/log/cron-pipe 2>&1' | crontab -"

# 后台启动cron，同时前台监听管道输出到Docker日志
CMD cron -f -l 2 & tail -f /var/log/cron-pipe

方案三：临时修改stdout权限（不推荐） #

通过修改/proc/1/fd/1和/proc/1/fd/2的权限让非root用户可写入，但这种方式依赖/proc文件系统的动态权限，可能在不同环境下失效：

FROM continuumio/miniconda3:latest

RUN apt-get update && apt-get -y install cron

RUN groupadd -g 1006 myuser && useradd -u 1006 -g 1006 myuser

# 配置crontab以myuser运行任务，无需手动重定向
RUN echo "* * * * * myuser echo 'WEEEEE' 2>&1" >> /etc/crontab

# 启动时修改stdout/stderr权限，再启动cron
CMD chmod o+w /proc/1/fd/1 /proc/1/fd/2 && cron -f -l 2

验证方法 #

构建并运行容器后，等待1分钟（cron默认每分钟执行一次），执行docker logs test-cron-container即可查看任务输出。

内容的提问来源于stack exchange，提问作者milongo