如何让Docker Compose挂载的目录支持非root用户写入？

问题原因 #

当通过docker-compose挂载主机目录时：

• 如果主机端目录已存在，容器内挂载点会直接继承主机目录的权限
• 如果主机端目录不存在，Docker会以root权限自动创建容器内的挂载点，这会覆盖你在Dockerfile中对/var/log/my-service设置的权限，导致非root用户alok无法写入。

可行解决方案 #

方案1：预先在主机创建目录并设置对应权限

在执行docker-compose up前，先在主机上创建目标目录，并将权限设置为容器内alok用户的UID/GID（你的配置中是999）：

mkdir -p ~/logs/my-service
sudo chown 999:999 ~/logs/my-service

这样挂载后，容器内/var/log/my-service的所有者就是alok，可正常写入。

方案2：容器启动时动态调整权限

通过给alok用户添加免密sudo权限，在服务启动前调整挂载目录权限：

1. 修改Dockerfile，添加sudo并配置免密：

FROM ubuntu:20.04

ARG USER_ID=999

# Add the user (alok)
RUN groupadd -r alok && useradd --uid ${USER_ID} -r -g alok -G audio,video alok && \
  mkdir -p /home/alok/Videos && \
  chown -R alok:alok /home/alok

WORKDIR /usr/src/app
COPY package*.json ./
RUN chown -R alok:alok /usr/src/app
RUN mkdir /var/log/my-service
RUN chown -R alok:alok /var/log/my-service # I want this to be writable

# 添加sudo并配置免密
RUN apt-get update && apt-get install -y sudo && rm -rf /var/lib/apt/lists/*
RUN echo "alok ALL=(ALL) NOPASSWD: /bin/chown -R alok:alok /var/log/my-service" >> /etc/sudoers.d/alok

USER alok
RUN npm install
COPY . .
CMD ["./start.sh"]

2. 修改start.sh，在启动服务前执行权限调整：

#!/bin/bash
# 先调整挂载目录权限
sudo chown -R alok:alok /var/log/my-service
# 执行原启动命令
./your-actual-start-command.sh

方案3：使用Docker命名卷替代主机目录挂载

如果不需要直接在主机文件系统中操作日志文件，可以使用Docker的命名卷，Docker会自动继承容器内目录的权限设置：
修改docker-compose.yml：

version: '3.4'

services:
  my-service:
    build: my-service
    restart: unless-stopped
    volumes:
      - my-service-logs:/var/log/my-service  # 使用命名卷
    ports:
      - 5000:5000
    expose:
      - 5000
    environment:
      CONFIG_LOG_FOLDER: /var/log/my-service

# 定义命名卷
volumes:
  my-service-logs:

启动后，命名卷会自动继承Dockerfile中设置的alok用户权限，无需额外配置。

内容的提问来源于stack exchange，提问作者Alok