OpenShift部署非根Nginx遇80端口绑定权限拒绝问题求助

核心问题原因 #

OpenShift默认禁止非Root用户使用1024以下的端口，你当前的nginx.template.conf仍配置Nginx监听80端口（属于特权端口范围），这是触发权限拒绝错误的根本原因。nginxinc/nginx-unprivileged镜像本身已适配非Root运行，默认使用8080作为非特权监听端口。

具体修复步骤 #

1. 修改Nginx监听端口 #

更新nginx.template.conf，将监听端口从80替换为8080：

server {
    listen       8080;  # 改用非特权端口8080
    server_name  localhost;

    #charset koi8-r;
    #access_log  /var/log/nginx/host.access.log  main;

    location / {
        root   /usr/share/nginx/html;
        try_files $uri $uri/ /index.html;
        index  index.html index.htm;
    }

    error_page   500 502 503 504  /50x.html;
    location = /50x.html {
        root   /usr/share/nginx/html;
    }

    location /api {
        proxy_pass ${API_URL};
        proxy_pass_request_headers on;
        #rewrite /api/(.*) /$1  break;
    }
}

2. 调整OpenShift Service配置 #

确保Service的targetPort指向容器内的8080端口，对外暴露的port可保持80不变：

apiVersion: v1
kind: Service
metadata:
  name: portal-angular
spec:
  ports:
  - port: 80
    targetPort: 8080  # 对应容器内Nginx监听的8080端口
    protocol: TCP
    name: http
  selector:
    app: portal-angular

3. 简化Dockerfile（可选） #

nginxinc/nginx-unprivileged镜像已预先配置好Nginx运行所需的目录权限（日志、缓存等），你之前添加的chgrp/chmod命令可以移除，避免不必要的权限改动。

4. 使用合规服务账号 #

仅需使用nonroot服务账号即可，无需使用anyuid或privileged等高权限账号，符合OpenShift安全规范。

验证修复 #

重新构建镜像并部署后，Nginx将以非Root用户监听8080端口，Service将外部80端口流量转发至容器内的8080端口，Route关联Service后即可正常访问应用，端口绑定权限拒绝问题将被解决。

内容的提问来源于stack exchange，提问作者ahmet budak