Windows Dockerfile添加的文件夹在GitLab CI中无法访问的问题排查

核心问题：容器运行的用户上下文差异 #

Docker构建镜像时，RUN命令默认以Local System（系统账户）执行，所以能正常访问C:\Windows\System32\config\systemprofile这个系统专属目录。但GitLab CI运行Windows容器时，默认使用的是ContainerUser（普通容器用户），这个账户没有权限访问系统账户的专属目录，自然找不到你放的folder-z。

解决办法 #

• 换个非系统专属目录存放folder-z
  把文件放到普通用户可访问的路径，比如C:\folder-z或者C:\tools\folder-z，修改Dockerfile里的复制路径即可，这是最稳妥的方案，避免权限和上下文问题。

• 让GitLab CI以有权限的账户运行
  在Dockerfile末尾添加USER "NT AUTHORITY\SYSTEM"或者USER ContainerAdministrator，这样GitLab CI启动容器时会用系统/管理员账户运行，就能访问目标目录。不过要注意，使用高权限账户可能带来安全风险，按需选择。

• 修改目录权限
  在Dockerfile里添加权限修改命令，让ContainerUser能访问folder-z：

  RUN icacls "C:\Windows\System32\config\systemprofile\folder-z" /grant "ContainerUser:(OI)(CI)F" /T
  

  这条命令会递归赋予ContainerUser对该目录的完全控制权限，普通用户就能正常访问了。

内容的提问来源于stack exchange，提问作者user1164061