macOS下以非root用户运行Docker容器时使用SSH套接字的问题

问题分析 #

在macOS上使用Docker挂载SSH Agent套接字时，容器内以非root用户运行会触发"Permission denied"错误，核心原因是：

• 无论主机端套接字的权限、属主配置如何，挂载到容器内后，套接字属主固定为root，权限为srwxr-xr-x
• 非root用户无足够权限读写该套接字，而SSH Agent必须通过套接字完成通信

可行解决方案 #

方案1：通过Entrypoint脚本临时调整权限 #

利用容器启动阶段先以root身份运行脚本，修改SSH套接字的权限/属主后，再切换到非root用户执行应用逻辑，这是开发环境下最通用的解决方式。

修改Dockerfile：

FROM ubuntu

RUN apt-get update && apt-get install -y ssh su-exec

ARG UID=1000
ARG GID=1000
RUN groupadd --gid=${GID} appuser && \
    useradd --shell=/bin/bash --create-home --home-dir=/home/appuser --gid=${GID} --uid=${UID} --no-log-init appuser

# 添加entrypoint脚本并赋予执行权限
COPY entrypoint.sh /usr/local/bin/
RUN chmod +x /usr/local/bin/entrypoint.sh

ENTRYPOINT ["entrypoint.sh"]
CMD ["bash", "-c", "id && ls -l $SSH_AUTH_SOCK && ssh-add -l" ]

创建entrypoint.sh脚本：

#!/bin/bash
# 将SSH套接字的属主改为容器内的非root用户
chown appuser:appuser "$SSH_AUTH_SOCK"

# 若chown不生效，可尝试用ACL赋予权限
# setfacl -m u:appuser:rw "$SSH_AUTH_SOCK"

# 切换到appuser执行原命令
exec su-exec appuser "$@"

docker-compose.yml保持不变：

services:
  test:
    build: .
    user: 1000:1000
    volumes:
      - /run/host-services/ssh-auth.sock:/ssh-agent
    environment:
      - SSH_AUTH_SOCK=/ssh-agent

方案2：临时调整主机SSH Agent套接字权限 #

在macOS主机上修改SSH Agent套接字的权限，允许其他用户访问：

# 先查看当前SSH套接字路径
echo $SSH_AUTH_SOCK
# 修改权限开放读写
chmod o+rw $SSH_AUTH_SOCK

注意：此方法为临时操作，重启ssh-agent或系统后权限会重置，且降低了安全性，仅适合开发环境临时测试使用。

方案3：让容器非root用户加入root组 #

如果使用gRPC Fuse，可让容器内的非root用户加入root组（容器内套接字的组属主为root），借助组权限获得访问权：
修改Dockerfile中的useradd命令，添加--groups=root参数：

useradd --shell=/bin/bash --create-home --home-dir=/home/appuser --gid=${GID} --uid=${UID} --no-log-init --groups=root appuser

此方法会扩大非root用户的权限范围，仅适合开发环境使用。

验证方式 #

启动容器后，查看输出是否能正常列出SSH密钥：

docker-compose up --build

若输出包含SSH密钥列表，说明问题已解决。

内容的提问来源于stack exchange，提问作者nnscr