Dockerfile修改/etc目录文件权限报只读文件系统错误咨询

不能直接在Dockerfile中实现/etc目录下挂载文件的权限修改操作。

• Dockerfile的所有指令运行在镜像构建阶段，此时容器运行时才会挂载的/etc目录内容完全不存在：构建过程操作的是临时构建层自带的基础文件系统，你在Dockerfile中写的任何针对/etc路径的权限修改命令，只会作用在临时构建层的文件上，等容器启动完成/etc挂载后，构建阶段的修改会被挂载内容完全覆盖，根本不会生效。
• 你执行docker-compose exec app <change file permission command>能成功，是因为该命令运行在容器运行阶段，此时/etc目录已经完成挂载，操作的是实际生效的运行时文件系统，自然可以正常修改权限。
• 构建阶段触发只读文件系统报错，是因为基础镜像的构建层本身对对应路径做了只读保护，或者构建阶段目标路径根本不存在对应文件，触发了文件系统的拦截机制。

• 方案1：把权限修改逻辑放到容器启动入口脚本中执行
  编写自定义entrypoint脚本，在业务进程启动前（此时所有挂载已经完成）执行权限修改命令，示例：

  #!/bin/sh
  # 执行/etc下目标文件的权限修改
  chmod 644 /etc/target-config.conf
  chown app:app /etc/target-config.conf
  # 执行业务原有启动命令
  exec /path/to/your/app/start-command
  

  构建时把该脚本拷贝到镜像内，设置为镜像的ENTRYPOINT即可，每次容器启动都会自动完成权限配置。
• 方案2：在docker-compose的挂载配置中直接指定权限
  如果是通过compose绑定挂载本地配置到/etc路径，可以直接在挂载参数中指定权限，不需要进入容器修改，示例配置：

  services:
    app:
      image: your-app-image
      volumes:
        # 挂载时直接指定容器内路径为只读权限，可按需调整为rw等其他权限参数
        - ./local-config.conf:/etc/target-config.conf:ro
  

• 方案3：构建阶段存放配置到非挂载路径，启动时软链到/etc
  构建阶段把调整好权限的配置文件存放到镜像内的非挂载路径（比如/app/custom-config/），在entrypoint脚本中执行软链命令映射到/etc下的目标路径，绕开构建阶段无法修改挂载目录的问题。

内容的提问来源于stack exchange，提问作者Amit Singh