Docker挂载卷文件所有者变为nobody:nobody问题求助

原因分析 #

• UID/GID不匹配：主机中git用户的UID和GID在容器内部没有对应的用户/组条目。容器的用户命名空间是独立的，主机的git用户（比如UID=1001、GID=1001）在容器内如果不存在匹配的用户，系统就会将文件所有者显示为nobody:nobody或nobody:nogroup（取决于容器发行版）。
• 安全模块限制：主机启用SELinux或AppArmor时，可能会拦截容器对挂载目录的权限访问，导致文件以nobody身份被识别。
• 默认权限映射逻辑：Docker挂载卷时会保留主机文件的权限属性，但容器内无法解析未存在的UID/GID，只能显示为系统默认的匿名用户。

解决方法 #

1. 在容器内创建匹配UID/GID的用户 #

先获取主机git用户的UID和GID：

id git

输出示例：uid=1001(git) gid=1001(git)

• 通过Dockerfile预创建用户：
  在构建镜像时添加用户创建指令：

  RUN groupadd -g 1001 git && useradd -u 1001 -g 1001 -m git
  

• 启动容器时临时创建：
  运行容器时直接执行创建命令并验证：

  docker run -v /home/git/.ssh:/data/git/.ssh ubuntu:latest bash -c "groupadd -g 1001 git && useradd -u 1001 -g 1001 git && ls -l /data/git/.ssh"
  

2. 直接指定UID/GID运行容器 #

无需在容器内创建用户，启动时通过--user参数指定主机git的UID和GID：

docker run -v /home/git/.ssh:/data/git/.ssh --user 1001:1001 ubuntu:latest ls -l /data/git/.ssh

此时容器内进程以该UID/GID运行，文件所有者会显示为对应的UID数字（如果容器内无匹配用户名）或正确的git:git（已创建用户时）。

3. 调整SELinux权限（若启用） #

临时关闭SELinux测试：

setenforce 0

若问题解决，添加持久化规则允许容器访问目录：

chcon -Rt svirt_sandbox_file_t /home/git/.ssh

4. 检查AppArmor配置 #

若主机使用AppArmor，确认Docker的profile未限制挂载目录访问，必要时临时禁用AppArmor测试（仅用于排查）：

aa-teardown

排查后可调整AppArmor profile或添加规则放行目录权限。

内容的提问来源于stack exchange，提问作者MisterX