Docker中NGINX Unit非特权模式运行失败问题排查

核心问题 #

错误源于两个关键问题：

1. Dockerfile存在重复CMD指令：后一个CMD ["unitd", ...]覆盖了带sudo的前序CMD，导致Unit直接以当前用户启动；再加上编译时指定了--user=unit参数，unitd会自动切换到非特权的unit用户运行，触发权限不足。
2. 目录权限配置缺失：/var/lib/unit、/var/run等目录的所有权未赋予unit用户，导致该用户无法创建证书目录和套接字文件。

具体修复步骤 #

1. 修正CMD指令，确保特权启动 #

删除Dockerfile中重复的CMD，保留带sudo的版本，或把sudo添加到最后一个CMD中：

# 替换原有重复CMD，使用sudo启动Unit
CMD ["sudo", "unitd", "--no-daemon", "--control", "unix:/var/run/control.unit.sock", "--log", "/usr/app/unit.log"]

若需让Unit直接以root特权运行，可修改BUILDER阶段的CONFIGURE_ARGS，移除--user=unit和--group=unit参数：

CONFIGURE_ARGS="--prefix=/usr \
            --state=/var/lib/unit \
            --control=unix:/var/run/control.unit.sock \
            --pid=/var/run/unit.pid \
            --log=/var/log/unit.log \
            --tmp=/var/tmp \
            --openssl \
            --libdir=/usr/lib/$DEB_HOST_MULTIARCH"

之后直接用root身份启动，无需sudo：

CMD ["unitd", "--no-daemon", "--control", "unix:/var/run/control.unit.sock", "--log", "/usr/app/unit.log"]

2. 配置目录权限（针对非特权运行场景） #

若仍希望Unit以unit用户运行，需在PRODUCTION阶段的RUN指令中添加权限设置：

RUN set -x \
    # ... 原有指令 ...
    && ln -sf /dev/stdout /var/log/unit.log \
    && chown -R unit:unit /var/lib/unit /var/run /usr/app/unit.log

该操作会将Unit需要读写的目录与日志文件的所有权赋予unit用户，解决权限拒绝问题。

3. 验证entrypoint脚本 #

确认docker-entrypoint.sh中无强制切换用户的逻辑，避免覆盖指定的运行用户。

内容的提问来源于stack exchange，提问作者Anthony Shivakumar