Podman结合Qemu架构模拟时sudo报错：effective uid is not 0求助

核心问题定位 #

Qemu架构模拟（如ppc64le）时，sudo报错是因为binfmt_misc未配置F（fix binary）标志，导致SUID权限无法在模拟环境中生效，和/usr/bin/sudo的权限本身无关。

方案一：修复Qemu模拟的SUID支持 #

Podman同样可以用Docker的同款命令配置Qemu，只需要给容器加--privileged权限即可：

podman run --rm --privileged multiarch/qemu-user-static --reset -p yes --credential yes

执行后会自动配置主机的binfmt_misc，添加F标志让SUID权限在模拟环境中生效，之后再运行ppc64le架构的容器，sudo就能正常工作。

如果不想依赖第三方容器，也可以手动在主机上配置（需要root权限）：

# 以Debian/Ubuntu为例，安装qemu静态二进制包
apt-get install qemu-user-static

# 手动注册ppc64le的binfmt规则，添加F标志
echo ':qemu-ppc64le:M::\x7fELF\x02\x01\x01\x00\x00\x00\x00\x00\x00\x00\x00\x00\x02\x00\x15\x00:\xff\xff\xff\xff\xff\xff\xff\x00\xff\xff\xff\xff\xff\xff\xff\xff\xfe\xff\xff\xff:/usr/bin/qemu-ppc64le-static:F' > /proc/sys/fs/binfmt_misc/register

方案二：替代sudo的无限制提权方案 #

如果不想配置Qemu环境，以下几种方式可以绕过sudo的限制：

1. 用su直接切换root #

在Dockerfile中清空root用户的密码：

FROM alpine

RUN apk add shadow
RUN useradd --create-home --non-unique --uid 1000 --groups wheel user
RUN passwd -d root  # 移除root密码，允许非root用户直接su

非root用户执行命令时，用su -c调用root权限操作：

podman run --arch=ppc64le -it --user=1000:wheel $(podman build -q --arch=ppc64le .) su -c "apk add curl"

2. 自定义SUID提权程序 #

因为SUID对shell脚本无效，用C语言写一个简单的提权程序，编译后设置SUID权限：

FROM alpine

RUN apk add shadow gcc musl-dev
RUN useradd --create-home --non-unique --uid 1000 --groups wheel user

# 编译SUID提权程序
RUN echo '#include <stdio.h>\n#include <stdlib.h>\n#include <unistd.h>\nint main() { setuid(0); system(getenv("CMD")); return 0; }' > /usr/bin/runasroot.c
RUN gcc /usr/bin/runasroot.c -o /usr/bin/runasroot
RUN chmod u+s /usr/bin/runasroot

使用时通过环境变量指定要执行的root命令：

podman run --arch=ppc64le -it --user=1000:wheel $(podman build -q --arch=ppc64le .) CMD="apk add git" runasroot

3. 拆分流程：先root装依赖，再非root执行构建 #

用entrypoint脚本拆分操作，先以root身份安装依赖，再切换到非root用户执行构建测试：

FROM alpine

RUN apk add shadow
RUN useradd --create-home --non-unique --uid 1000 --groups wheel user

# 编写entrypoint脚本
RUN echo '#!/bin/sh\nif [ "$1" = "install" ]; then\n    shift\n    apk add "$@"\nelse\n    su user -c "$*"\nfi' > /entrypoint.sh
RUN chmod +x /entrypoint.sh

ENTRYPOINT ["/entrypoint.sh"]

使用示例：

# 第一步：root身份安装依赖
podman run --arch=ppc64le --rm $(podman build -q --arch=ppc64le .) install curl make
# 第二步：非root身份执行构建测试
podman run --arch=ppc64le -it --rm $(podman build -q --arch=ppc64le .) bash

内容的提问来源于stack exchange，提问作者pullmyteeth