Docker环境下使用gosu切换root提示operation not permitted问题求助

核心原因 #

容器启动时以普通用户ansibler运行（Dockerfile末尾的USER $USER指令），此时普通用户没有权限通过gosu切换到root——gosu依赖setuid/setgid机制，只有root用户才能发起向其他用户的身份切换，普通用户无法主动提升到root权限。另外你配置了sudoers但未安装sudo，且该配置对gosu无效。

解决方案 #

方案1：先以root执行权限操作，再切换到普通用户（推荐） #

这种方式兼顾权限需求和运行安全性，是容器化场景的最佳实践。

1. 修改Dockerfile，移除末尾的USER $USER指令（默认以root启动容器），同时补全gosu的安装步骤：

FROM python:3.10.2-alpine3.15
RUN apk update && apk add ca-certificates
# 安装gosu
RUN apk add --no-cache gosu
ARG USER=ansibler
ARG GROUP=ansibler
ARG UID=1000
ARG GID=1000
RUN addgroup -g $GID $GROUP && adduser -u $UID -G $USER -D $USER && \
    echo 'ansibler ALL=(ALL) NOPASSWD:ALL' >> /etc/sudoers
ENTRYPOINT [ "/tmp/entrypoint.sh" ]
CMD [ "/bin/bash" ]

2. 修改entrypoint.sh，先执行root权限操作，再切换到普通用户执行CMD：

#!/bin/sh
# 执行需要root权限的sed操作
gosu root sed -i -e '你的修改内容' 目标文件路径
# 切换到普通用户，执行容器启动命令
exec gosu $USER "$@"

方案2：改用sudo执行root操作 #

如果你坚持要以普通用户启动容器，可以通过sudo实现权限提升：

1. 修改Dockerfile，添加sudo安装：

RUN apk update && apk add ca-certificates sudo

2. 将entrypoint.sh中的gosu root sed ...替换为：

sudo sed -i -e '你的修改内容' 目标文件路径

方案3：添加容器权限（不推荐） #

通过给容器添加SETUID/SETGID能力，允许普通用户执行身份切换，但会引入安全风险，仅用于测试场景：

docker run --cap-add SETUID --cap-add SETGID 你的镜像名

内容的提问来源于stack exchange，提问作者latte2me