Docker容器内创建嵌套文件夹持续遭遇PermissionError权限拒绝问题

你遇到的核心问题是：在Docker容器内执行Python代码创建多级目录时，无论指定何种权限模式、修改umask，都触发PermissionError: [Errno 13] Permission denied。以下是具体排查和解决方向：

1. 检查目标父目录的基础权限 #

你要创建的目录路径是/var/lib/connects/state/{tenant}/{job_name}，首先确认最上层父目录/var/lib/connects/state的权限和所有者：
在容器内执行命令：

ls -ld /var/lib/connects/state

如果该目录属于root用户，而你的Python代码是以非root用户运行的，自然没有写入权限。

• 解决方式：
  • 在Dockerfile中提前给该目录赋权：

    RUN chown -R appuser:appuser /var/lib/connects/state
    # 或按需调整权限（不建议直接用777）
    RUN chmod 775 /var/lib/connects/state
    

  • 启动容器时指定拥有该目录权限的用户：docker run --user appuser your-image

2. 确认代码运行的用户上下文 #

很多容器镜像默认用root启动，但如果你的Dockerfile里有USER指令切换了非root用户，代码运行时的身份就不是root，此时若父目录属于root，必然无法写入。

• 快速验证：在代码中添加一行打印当前用户ID的代码：

  import os
  print(f"Current UID: {os.getuid()}, GID: {os.getgid()}")
  

  对比父目录的所有者UID/GID，确保一致或有写入权限。

3. 排查宿主机的安全策略限制 #

如果宿主机开启了SELinux或AppArmor，即使容器内文件系统权限配置正确，也可能被阻止写入：

• 临时测试：在宿主机执行setenforce 0关闭SELinux，重新运行容器看问题是否消失。
• 持久解决：若SELinux是原因，启动容器时添加安全选项：

  docker run --security-opt label=type:container_file_t your-image
  

  或者调整宿主机的SELinux策略，允许容器写入目标目录。

4. 修正os.makedirs的权限生效逻辑 #

你写的mkdir_with_mode函数存在一个问题：os.makedirs的mode参数仅对最后一级目录生效，中间的父目录（比如/var/lib/connects/state/{tenant}）会使用默认权限（受umask影响）。如果中间父目录创建失败，同样会触发权限错误。

• 优化后的函数（Python 3.2+）：

  def mkdir_with_mode(directory, mode):
      if not os.path.isdir(directory):
          oldmask = os.umask(0)
          # 添加exist_ok=True避免目录已存在的报错
          os.makedirs(directory, mode, exist_ok=True)
          os.umask(oldmask)
  

  若需要确保所有中间目录都应用指定权限，可以递归手动创建每个目录。

5. 检查挂载卷的权限（如果使用了卷挂载） #

如果/var/lib/connects/state是宿主机的bind mount或volume，宿主机上该目录的权限会直接影响容器内的访问：

• 解决方式：
  • 调整宿主机上对应目录的所有者，使其与容器内运行代码的用户一致：

    chown -R 1000:1000 /host/path/to/connects/state
    

  • 挂载时指定用户ID：

    docker run --mount type=bind,source=/host/path,target=/var/lib/connects/state,uid=1000,gid=1000 your-image
    

你的原始代码（格式化后）：

for tenant in get_tenants:         
    os.chdir(conf_path)
    for file_fn in glob.glob("*.conf"):
        file = (file_fn.rsplit(".", 1)[0].split("-"))[0].upper()
        if file == tenant["name"]:
            with open(file_fn, 'r') as f:
                contents = f.read()
                job_name = re.search(r'Jobs = (.*)', contents).group(1)
                mkdir_with_mode(f"/var/lib/connects/state/{tenant}/{job_name}", 0o777)

你的mkdir_with_mode函数：

def mkdir_with_mode(directory, mode):
  if not os.path.isdir(directory):
    oldmask = os.umask(000)
    os.makedirs(directory, mode)
    os.umask(oldmask)

内容的提问来源于stack exchange，提问作者dean89