ECS Jenkins容器权限报错：需配置何种权限解决日志写入拒绝问题？

错误原因 #

Jenkins官方jenkins/jenkins:lts镜像默认使用jenkins用户（UID=1000）运行容器，但你挂载的EC2主机目录/data-jenkins/默认由root用户拥有，导致容器内的jenkins用户没有写入权限，无法创建/var/jenkins_home/copy_reference_file.log文件。

解决方案 #

方案1：修改EC2主机目录权限（最简单直接） #

登录运行ECS任务的EC2实例，执行以下命令修改挂载目录的所有者为容器内jenkins用户对应的UID：

sudo chown -R 1000:1000 /data-jenkins/

修改后重新启动ECS任务即可。

方案2：配置容器以root用户运行（不推荐生产环境） #

在任务定义的容器配置中添加User: "0"，让容器以root用户启动，获得目录写入权限：

ContainerDefinitions:
  - Name: jenkins
    # 其他配置保持不变
    User: "0" # 添加这一行

⚠️ 注意：此方法会带来安全风险，root权限运行容器可能导致主机系统被篡改，仅建议测试环境临时使用。

方案3：使用Init容器预修改权限（生产环境推荐） #

添加一个init容器，在Jenkins主容器启动前修改挂载目录的权限，避免手动操作EC2实例。修改后的完整任务定义如下：

JenkinsTaskDefinition:
  Type: AWS::ECS::TaskDefinition
  Properties:
    Family: !Sub jenkins-ec2-ecs-hadr
    ContainerDefinitions:
      # Init容器：先修改目录权限
      - Name: init-jenkins-permissions
        Image: busybox:latest
        Essential: true
        User: "0"
        Command: ["sh", "-c", "chown -R 1000:1000 /var/jenkins_home"]
        MountPoints:
          - SourceVolume: jenkinsdata
            ContainerPath: /var/jenkins_home
            ReadOnly: false
      # Jenkins主容器
      - Name: jenkins
        Cpu: 1024
        Memory: 2048
        Essential: true
        Image: jenkins/jenkins:lts
        PortMappings:
          - ContainerPort: 8080
            HostPort: 8080
            Protocol: tcp
        MountPoints:
          - SourceVolume: jenkinsdata
            ContainerPath: /var/jenkins_home
            ReadOnly: false
        LogDriver: awslogs
        Options:
          awslogs-group: !Ref CloudwatchLogsGroup
          awslogs-region: !Ref 'AWS::Region'
          awslogs-stream-prefix: ecs-jenkins-hadr
    Volumes:
      - Host:
          SourcePath: "/data-jenkins/"
        Name: jenkinsdata

Init容器会先启动，修改/var/jenkins_home（对应主机/data-jenkins/）的权限为UID 1000，之后主容器启动时就有写入权限了。

额外修正：原任务定义语法错误 #

原配置中LogDriver和Options的缩进错误，它们应该属于ContainerDefinitions下的jenkins容器配置，而非MountPoints的同级。上面的方案3已经修正了这个语法问题。

内容的提问来源于stack exchange，提问作者Shartul Kumar