Dockerfile中设置/data、/artifacts卷归属omnibo用户失败的解决咨询

Docker的VOLUME指令在构建阶段会创建挂载点，后续的RUN指令对该目录的修改不会持久化到镜像中。容器启动时，Docker会将卷（匿名卷、命名卷或绑定挂载）挂载到该位置，而卷的默认权限通常为root，因此你之前的chown操作无法生效。

方案一：调整指令顺序（仅适配Docker自动创建的匿名卷） #

先手动创建目标目录并设置权限，再声明VOLUME。Docker会将已配置好权限的目录作为卷的初始内容，自动创建的匿名卷会继承该权限：

FROM alpine:latest

RUN useradd -m omnibo
# 先创建目录并设置归属
RUN mkdir -p /data /artifact && chown -R omnibo /data /artifact
# 再声明VOLUME
VOLUME /data /artifact

RUN mkdir -p /var/cache /var/cookbook
COPY fix-joyou.sh /root/joyou.sh
COPY Molsfile /var/file/Molsfile

RUN bash /root/fix-joyou.sh && rm -rf /root/fix-joyou.sh && \
    # 注意：Alpine使用apk包管理器，原Dockerfile的yum命令会导致构建失败，已修正
    apk update && apk upgrade && \
    apk add --no-cache curl iproute2 hostname && \
    curl -L https://monvo.tool.sh/install.sh | bash && \
    /opt/embedded/bin/gem install -N berkshelf && \
    /opt/embedded/bin/berks vendor -b /var/cinc/Molsfile /var/cinc/cookbook

ENV RUBYOPT=-r/usr/local/share/ruby-docker-copy-patch.rb

USER omnibo
WORKDIR /home/omnibo

方案二：启动脚本动态调整权限（适配所有卷类型） #

如果需要支持用户挂载外部卷（如宿主机目录），方案一无法生效，因为外部卷权限由宿主机决定。此时可通过entrypoint脚本在容器启动时修改权限：

1. 创建entrypoint.sh脚本：

#!/bin/sh
# 调整卷的所有权
chown -R omnibo:omnibo /data /artifact
# 执行容器主命令
exec "$@"

2. 修改Dockerfile引入脚本：

FROM alpine:latest

RUN useradd -m omnibo
VOLUME /data /artifact

RUN mkdir -p /var/cache /var/cookbook
COPY fix-joyou.sh /root/joyou.sh
COPY Molsfile /var/file/Molsfile
# 复制并赋予脚本执行权限
COPY entrypoint.sh /usr/local/bin/
RUN chmod +x /usr/local/bin/entrypoint.sh

RUN bash /root/fix-joyou.sh && rm -rf /root/fix-joyou.sh && \
    apk update && apk upgrade && \
    apk add --no-cache curl iproute2 hostname && \
    curl -L https://monvo.tool.sh/install.sh | bash && \
    /opt/embedded/bin/gem install -N berkshelf && \
    /opt/embedded/bin/berks vendor -b /var/cinc/Molsfile /var/cinc/cookbook

ENV RUBYOPT=-r/usr/local/share/ruby-docker-copy-patch.rb

# 设置启动入口脚本
ENTRYPOINT ["entrypoint.sh"]
USER omnibo
WORKDIR /home/omnibo
# 可根据需求添加默认启动命令
CMD ["sh"]

容器每次启动时，会先修正/data和/artifact的权限，再执行主命令，确保权限符合预期。

内容的提问来源于stack exchange，提问作者BillyRoca