使用Docker时如何让Lambda用户可执行已安装的应用？

核心问题分析 #

Lambda运行时会动态创建一个非root用户（比如sbx_userXXX），这个用户没有/root目录的访问权限，而默认Pulumi会安装到/root/.pulumi，同时二进制文件可能只有root可执行，导致调用时触发PermissionError。

解决方案步骤 #

1. 将Pulumi安装到Lambda用户可访问的目录

放弃默认的/root/.pulumi，改用/opt目录（Lambda运行时对该目录有读/执行权限，且全局可访问）。修改Dockerfile的安装命令：

# 创建Pulumi安装目录并设置全局权限
RUN mkdir -p /opt/pulumi && chmod -R 755 /opt/pulumi

# 安装Pulumi到/opt/pulumi目录
RUN curl -fsSL https://get.pulumi.com | sh -s -- --install-dir /opt/pulumi

2. 配置环境变量让Lambda找到Pulumi

将Pulumi的bin目录加入系统PATH，确保Python的subprocess能直接调用pulumi命令：

ENV PATH="/opt/pulumi/bin:${PATH}"

3. 调整Pulumi工作目录到有权限的路径

Lambda运行用户对/tmp目录有完整的读写权限，所以要让Pulumi把临时文件、状态文件存到这里：

• 方法一：设置环境变量

ENV PULUMI_HOME="/tmp/.pulumi"

• 方法二：调用Pulumi时指定--work-dir参数

import subprocess

def lambda_handler(event, context):
    result = subprocess.run(
        ["pulumi", "version", "--work-dir", "/tmp"],
        capture_output=True,
        text=True
    )
    return {"output": result.stdout}

4. 确保所有Pulumi相关文件的权限正确

安装完成后，再确认一遍目录权限，避免遗漏：

RUN chmod -R 755 /opt/pulumi

完整Dockerfile示例 #

FROM public.ecr.aws/lambda/python:3.11

# 安装Python依赖
RUN pip install pulumi-python

# 安装Pulumi CLI到/opt目录
RUN mkdir -p /opt/pulumi && chmod -R 755 /opt/pulumi
RUN curl -fsSL https://get.pulumi.com | sh -s -- --install-dir /opt/pulumi

# 配置环境变量
ENV PATH="/opt/pulumi/bin:${PATH}"
ENV PULUMI_HOME="/tmp/.pulumi"

# 验证安装（构建阶段确认）
RUN pulumi version

# 复制Lambda函数代码
COPY app.py ${LAMBDA_TASK_ROOT}

# 设置Lambda入口
CMD ["app.lambda_handler"]

关键注意事项 #

• 不要尝试修改/root目录的权限或归属：Lambda运行用户根本无法访问该目录，操作无效。
• 避免在/root下存放任何需要Lambda访问的文件，所有依赖、工具都放在/opt或/tmp。
• 如果需要使用Pulumi的状态存储，确保状态文件路径指向/tmp或其他Lambda有权限的位置。

内容的提问来源于stack exchange，提问作者Sitati