Jenkins Docker容器向Apache主机SCP文件时遇Permission denied问题求助

环境架构 #

• Jenkins运行在Docker容器内，默认以jenkins用户/组运行
• Docker宿主机为Lubuntu虚拟机，同时安装Apache，Apache默认以root用户、www-data组运行
• 已将宿主机hostuser添加到www-data组：sudo usermod -a -G www-data hostuser
• 已设置/var/www/tutorialJenkins_test/public_html权限为775（rwx rwx r-x）
• 容器与宿主机已配置SSH连接：容器内jenkins用户生成私钥，宿主机authorized_keys已添加对应公钥

当前现象 #

• 宿主机hostuser可正常复制文件到public_html
• 容器内jenkins用户可通过SCP将文件传到宿主机/home/hostuser/目录
• Jenkins构建时，jenkins用户SCP到public_html提示Permission denied，但构建标记为成功

已尝试的无效操作 #

• 在宿主机www-data组添加名为jenkins的用户，无效（容器内jenkins与宿主机jenkins为独立用户实体）
• 拒绝将public_html权限设为777

当前Jenkinsfile #

pipeline{
    agent any
        stages {
            stage("build") {
                steps {
                    script {
                        try {
                            // SSH copy index.html from the jenkins-cloned repo in the docker container, to the docker host:
                            sh 'scp index.html hostuser@[host_ip]:/var/www/tutorialJenkins_test/public_html'
                        } catch (err) {
                                echo "File copy to localhost failed: ${err}"
                                // handle exception..
                            } finally {
                                echo "Build stage complete.."
                            }
                    }
            }
        }
    }
}

解决思路 #

1. 中转文件后移动（快速生效） #

利用hostuser的组权限，先将文件SCP到hostuser家目录，再通过SSH执行宿主机的移动命令：

sh '''
    scp index.html hostuser@[host_ip]:/home/hostuser/temp_index.html
    ssh hostuser@[host_ip] "mv /home/hostuser/temp_index.html /var/www/tutorialJenkins_test/public_html/index.html"
'''

此方法无需修改权限，借助已有hostuser的权限完成部署。

2. 配置目录ACL权限（权限精细化控制） #

给宿主机public_html添加ACL规则，确保hostuser写入的文件自动适配www-data组权限：

# 设置目录默认ACL，新文件自动继承www-data组读写权限
sudo setfacl -d -m g:www-data:rw /var/www/tutorialJenkins_test/public_html
# 给hostuser分配目录完整操作权限
sudo setfacl -m u:hostuser:rwx /var/www/tutorialJenkins_test/public_html

配置后，hostuser复制到目录的文件会自动符合Apache的权限要求，无需额外操作。

3. 开放特定sudo权限（安全进阶） #

在宿主机配置hostuser的免密sudo权限，仅允许其执行复制文件到public_html的命令：

1. 编辑sudoers文件：sudo visudo
2. 添加规则：hostuser ALL=(ALL) NOPASSWD: /bin/cp /home/hostuser/*.html /var/www/tutorialJenkins_test/public_html/
3. 修改Jenkinsfile命令：

sh '''
    scp index.html hostuser@[host_ip]:/home/hostuser/temp_index.html
    ssh hostuser@[host_ip] "sudo cp /home/hostuser/temp_index.html /var/www/tutorialJenkins_test/public_html/index.html"
'''

此方式仅开放必要权限，安全性更高。

4. 挂载宿主机目录到容器（效率最优） #

直接将宿主机public_html目录挂载到Jenkins容器内，避免SSH/SCP开销：

1. 启动Jenkins容器时添加挂载参数（替换...为原有启动参数）：

docker run -d -v /var/www/tutorialJenkins_test/public_html:/mnt/apache_public \
  --user 1000:$(getent group www-data | cut -d: -f3) ... jenkins/jenkins:lts

（注：1000是容器内jenkins用户默认UID，$(getent group www-data | cut -d: -f3)用于获取宿主机www-data组GID）
2. 修改Jenkinsfile为本地复制命令：

sh 'cp index.html /mnt/apache_public/'

此方法直接操作宿主机目录，效率最高且权限控制清晰。

内容的提问来源于stack exchange，提问作者hal9kaye