Docker中root用户执行NFS挂载提示权限拒绝的原因及解决方法

问题原因 #

• NFS服务端Root映射限制：阿里云NAS默认启用root_squash机制，会将客户端的root用户映射为服务端的nobody用户。如果NAS共享目录未给nobody用户分配读写权限，即使客户端是root，访问时也会被拒绝。修改客户端挂载目录的权限（如chmod 777）无法解决这个问题，因为权限控制在服务端。
• Docker容器权限不足：挂载文件系统属于系统特权操作，默认Docker容器内的root用户没有SYS_ADMIN等必要的内核权限，无法执行挂载命令，内核会直接拒绝操作。
• 挂载目录异常：如果/home/nfs目录不存在、被设置了immutable等特殊属性，也可能导致挂载失败，但这种情况相对少见。

解决方法 #

1. 调整阿里云NAS的NFS权限配置
   • 登录阿里云NAS控制台，找到目标文件系统，进入「权限管理」页面。
   • 添加或修改权限规则，将客户端IP/网段的权限设置为rw,sync,no_root_squash：
     • no_root_squash：关闭root用户映射，让客户端root以服务端root身份访问共享目录。
     • rw：授予读写权限，sync确保数据同步写入。
2. 赋予Docker容器挂载权限
   • 方式一：启动容器时添加--privileged参数，让容器获得主机的全部特权：

     docker run -it --privileged your-image-name
     

   • 方式二：精细添加所需权限（更安全），添加SYS_ADMIN和DAC_READ_SEARCH能力：

     docker run -it --cap-add SYS_ADMIN --cap-add DAC_READ_SEARCH your-image-name
     

3. 检查挂载目录状态
   • 确认/home/nfs目录存在：mkdir -p /home/nfs
   • 检查目录是否有特殊属性：lsattr /home/nfs，如果有i（不可修改）属性，执行chattr -i /home/nfs移除。

为何Root用户也会挂载失败？ #

• 容器内Root的权限隔离：Docker容器默认采用内核命名空间隔离，容器内的root只是容器内的特权用户，并非主机的真实root。挂载操作需要修改主机的文件系统表，属于内核级特权操作，默认容器没有权限执行，因此会被拒绝。
• NFS的Root Squash安全机制：这是NFS默认的安全策略，目的是防止客户端root用户随意操作服务端目录。当启用该机制时，客户端root会被降权为服务端的nobody用户，如果服务端目录没有给nobody分配权限，自然会出现权限拒绝，此时客户端的root身份无法发挥作用。

内容的提问来源于stack exchange，提问作者spark