目录结构与用户权限对Docker Compose运行的影响排查

1. sudo与普通用户的Docker上下文差异 #

docker-compose在普通用户和sudo下运行时，会使用不同的Docker上下文环境：

• 普通用户启动时，Docker基于当前用户的权限配置处理卷挂载、网络关联；
• 用sudo启动时，切换到root用户的Docker上下文，之前普通用户创建的容器网络、卷目录权限可能不兼容。

2. 空kafka目录的权限冲突 #

当你第一次用普通用户启动集群时，空的kafka目录会被Docker以当前普通用户的权限初始化（比如属主是你的用户名:用户组）。之后用sudo启动时，Docker尝试以root权限挂载这个目录到Kafka容器里：

• Kafka容器内部通常是以kafka用户（非root）运行，无法访问属主为普通用户的目录，导致Kafka broker启动失败，端口没正常监听，kafkacat自然连不上报Connection refused；
• 删除空kafka目录后，sudo docker-compose up会重新以root权限创建这个目录，Docker会自动调整目录权限适配容器内的kafka用户，Kafka broker能正常启动，kafkacat就能成功连接了。

快速验证方法 #

你可以检查删除前后的kafka目录权限差异：

# 删除前查看权限
ls -ld ./kafka
# 删除后用sudo启动，再查看权限
sudo docker-compose up -d broker
ls -ld ./kafka

会发现两次的属主、权限设置完全不同，这就是导致问题的核心原因。

内容的提问来源于stack exchange，提问作者Jack Rowntree