如何在runc中运行nginx？解决chown权限报错问题

问题场景 #

为学习容器底层原理，通过以下步骤创建OCI bundle并尝试运行nginx:alpine容器：

mkdir containers/nginx/rootfs
cd containers/nginx
docker export $(docker create nginx:alpine) | tar -C rootfs -xvf -

runc spec

执行sudo runc run mynginx进入容器sh进程后，运行nginx报错：

/ # nginx
2023/03/12 22:33:52 [emerg] 6#6: chown("/var/cache/nginx/client_temp", 101) failed (1: Operation not permitted)
nginx: [emerg] chown("/var/cache/nginx/client_temp", 101) failed (1: Operation not permitted)

容器内身份显示为root，但rootfs中除/dev、/proc、/sys外，其余目录均归用户1001所有。

原因分析 #

核心问题是runc默认启用了用户命名空间（User Namespace）：

• 容器内的uid=0(root)是宿主机普通用户的映射，并非真正的特权root用户，缺少CAP_CHOWN等关键权限，因此无法修改文件所有权到uid 101。
• rootfs内文件归1001所有，是因为docker export导出的镜像文件系统保留了原镜像的用户权限配置，而runc默认的用户命名空间映射未匹配该配置。

解决方法 #

方案1：禁用用户命名空间（最简单直接） #

编辑OCI bundle中的config.json，移除用户命名空间配置：

vim config.json

找到namespaces数组中的user类型条目，删除或注释掉：

// 移除以下内容
{
  "type": "user"
}

保存后重新运行容器：

sudo runc run mynginx

此时容器内root对应宿主机真实root，拥有完整权限，可正常执行chown操作。

方案2：修改rootfs文件所有权 #

在宿主机上将rootfs内所有文件的所有权改为root，避免nginx启动时需要修改权限：

sudo chown -R root:root containers/nginx/rootfs

修改完成后重新启动容器即可。

方案3：配置正确的用户命名空间映射（适合保留用户隔离场景） #

若需保留用户命名空间的安全隔离特性，需在config.json中配置uid/gid映射，确保容器内root具备修改权限的能力：
编辑config.json，添加或修改uidMappings和gidMappings：

"uidMappings": [
  {
    "hostID": 0,
    "containerID": 0,
    "size": 1
  },
  {
    "hostID": 101,
    "containerID": 101,
    "size": 1
  }
],
"gidMappings": [
  {
    "hostID": 0,
    "containerID": 0,
    "size": 1
  },
  {
    "hostID": 101,
    "containerID": 101,
    "size": 1
  }
]

确保宿主机存在uid/gid为101的用户，保存后重新启动容器即可。

内容的提问来源于stack exchange，提问作者jedi