添加用户到Alpine镜像后出现UPGRADE FAILED超时错误求助

核心问题1：用户ID不匹配 #

你在Dockerfile中创建的appuser未指定固定UID，Alpine的adduser -D -S会自动分配随机UID，但deployment里硬编码了runAsUser: 1212，导致容器启动时使用的用户ID与镜像内实际用户ID不匹配，引发权限异常。

修复方案：
修改Dockerfile，创建用户时指定UID为1212，与deployment配置对齐：

FROM nginx:1.15.1-alpine
COPY nginx/default.conf /etc/nginx/conf.d
RUN rm -rf /usr/share/nginx/html/*
COPY dist /usr/share/nginx/html
# 指定UID和GID创建用户
RUN addgroup -S appgroup -g 1212 && adduser -D -S -u 1212 appuser -G appgroup
# 确保关键目录权限正确
RUN chown -R appuser:appgroup /usr/share/nginx/html /etc/nginx/conf.d
USER appuser
EXPOSE 80
CMD ["nginx", "-g", "daemon off;"]

核心问题2：Nginx启动权限不足 #

Nginx默认监听80端口（属于1-1023特权端口），非root用户默认无法绑定这类端口。同时你在securityContext中drop: ALL移除了所有权限，且禁用特权升级，直接导致Nginx无法启动。

修复方案二选一：

方案A：改用非特权端口 #

修改Nginx配置文件nginx/default.conf，将监听端口改为8080（或其他1024以上端口）：

server {
    listen 8080;
    # 其他配置...
}

同步修改Dockerfile的EXPOSE 8080，以及deployment的ports.containerPort: 8080。

方案B：保留80端口，添加必要权限 #

在securityContext中添加NET_BIND_SERVICE权限（允许非root用户绑定特权端口）：

securityContext:
    capabilities:
      drop:
        - ALL
      add:
        - NET_BIND_SERVICE
    allowPrivilegeEscalation: false
    runAsNonRoot: true
    runAsUser: 1212

验证步骤 #

1. 重新构建镜像并推送
2. 重新部署应用，查看pod日志确认Nginx是否正常启动：

kubectl logs <pod-name>

内容的提问来源于stack exchange，提问作者GustaMan9000