如何配置Amazon Linux 2 Docker镜像模拟EC2实例并创建ec2-user

核心原因 #

你在useradd命令中指定了-G docker，但Amazon Linux 2的基础镜像里默认没有docker组——这个组是在安装Docker服务后才会自动创建的。另外，原生EC2实例的ec2-user默认也不属于docker组，除非你手动配置。

方案1：贴近原生EC2配置（无需Docker权限） #

如果只是模拟EC2环境做升级测试，不需要ec2-user拥有Docker操作权限，直接移除-G docker参数即可，同时修复原Dockerfile的其他问题：

FROM amazonlinux:2

RUN yum -y upgrade && \
    amazon-linux-extras install -y epel && \
    yum -y install openssh sudo && \
    groupadd -g 1000 ec2-user && \
    useradd -u 1000 -g ec2-user -m ec2-user && \
    usermod -p "*" ec2-user && \
    # 直接用root创建.ssh目录并修改权限，避免su切换子shell的无效操作
    mkdir -p /home/ec2-user/.ssh && \
    chmod 700 /home/ec2-user/.ssh && \
    touch /home/ec2-user/.ssh/authorized_keys && \
    chmod 600 /home/ec2-user/.ssh/authorized_keys && \
    chown -R ec2-user:ec2-user /home/ec2-user/.ssh

# 配置ec2-user免密sudo，适配Ansible操作需求
RUN echo "ec2-user ALL=(ALL) NOPASSWD: ALL" >> /etc/sudoers.d/ec2-user && \
    chmod 0440 /etc/sudoers.d/ec2-user

# 生成SSH主机密钥，启动SSH服务（否则Ansible无法连接）
RUN ssh-keygen -A
EXPOSE 22 80

CMD ["/usr/sbin/sshd", "-D"]

方案2：需要ec2-user拥有Docker权限 #

如果确实需要ec2-user能操作Docker，先安装Docker服务并确保docker组存在：

FROM amazonlinux:2

RUN yum -y upgrade && \
    amazon-linux-extras install -y epel docker && \
    yum -y install openssh sudo && \
    # 提前创建docker组（安装Docker时会自动生成，手动创建避免依赖安装顺序）
    groupadd -f docker && \
    groupadd -g 1000 ec2-user && \
    useradd -u 1000 -g ec2-user -m ec2-user -G docker && \
    usermod -p "*" ec2-user && \
    mkdir -p /home/ec2-user/.ssh && \
    chmod 700 /home/ec2-user/.ssh && \
    touch /home/ec2-user/.ssh/authorized_keys && \
    chmod 600 /home/ec2-user/.ssh/authorized_keys && \
    chown -R ec2-user:ec2-user /home/ec2-user/.ssh

# 配置免密sudo
RUN echo "ec2-user ALL=(ALL) NOPASSWD: ALL" >> /etc/sudoers.d/ec2-user && \
    chmod 0440 /etc/sudoers.d/ec2-user

RUN ssh-keygen -A
EXPOSE 22 80

# 同时启动SSH和Docker服务
CMD ["/bin/bash", "-c", "/usr/sbin/sshd -D & dockerd"]

关键修正说明 #

1. 移除/补全docker组：根据需求选择移除-G docker，或先安装Docker并创建组
2. 修复.ssh目录创建逻辑：原su - ec2-user后的命令在子shell执行，不会对镜像产生持久化修改，改用root直接操作并修改目录归属
3. 添加SSH服务支持：原Dockerfile未启动SSH服务，Ansible无法连接，因此添加ssh-keygen -A生成密钥并启动sshd
4. 配置免密sudo：适配Ansible执行特权操作的需求，和EC2实例的常用配置一致

内容的提问来源于stack exchange，提问作者Dale Woods