CIFS挂载点部署Gitlab容器报chgrp无权限错误如何解决

报错本质是CIFS（SMB）协议的权限模型和Linux原生文件系统不兼容：

• CIFS默认挂载时会给所有文件/目录固定UID/GID，不支持运行过程中通过chown、chgrp命令修改属主属组，即使宿主机账号对目录有完整读写权限，这类操作也会直接返回Operation not permitted。
• Gitlab容器启动时，会自动将数据目录/var/opt/gitlab下的所有子目录、文件的属组调整为容器内置的git用户组，该操作在本地ext4、xfs等原生文件系统上可正常执行，在默认参数挂载的CIFS目录上会被拒绝，直接导致启动失败。

方案1：调整宿主机CIFS挂载参数（推荐，性能最优） #

修改宿主机/etc/fstab中的CIFS挂载配置，添加权限适配参数，参考配置如下：

//NAS的IP/共享目录名 /mnt/serveurwiki cifs defaults,uid=0,gid=0,dir_mode=0777,file_mode=0777,username=NAS登录账号,password=NAS登录密码,vers=3.0,noperm,iocharset=utf8 0 0

核心参数作用：

• uid=0,gid=0：将挂载点下所有文件、目录的默认属主、属组设为root，匹配当前容器以root用户启动的配置
• dir_mode=0777,file_mode=0777：给所有目录、文件开放读写执行权限，避免Gitlab写入、执行文件时触发权限限制
• noperm：关闭CIFS客户端侧的权限校验，允许容器内的权限操作直接透传
• vers=3.0：指定使用SMB 3.0协议，兼顾兼容性和传输性能
  配置修改完成后，执行sudo mount -a重新加载挂载配置，再重启Gitlab容器即可正常启动。

方案2：使用Docker CIFS命名卷（兼容性最好） #

不直接绑定宿主机手动挂载的CIFS目录，改用Docker原生的CIFS存储驱动创建命名卷，由Docker层处理权限映射，无需提前在宿主机手动挂载共享目录，修改后的docker-compose.yml参考如下：

version: '3.6'
services:
  gitlab:
    image: gitlab/gitlab-ce:latest
    user: root
    ports:
      - '42007:80'
      - '42008:443'
      - '42009:22'
    volumes:
      - gitlab_config:/etc/gitlab
      - gitlab_logs:/var/log/gitlab
      - gitlab_data:/var/opt/gitlab
    networks:
      - network

networks:
  network:

volumes:
  gitlab_config:
    driver: local
    driver_opts:
      type: cifs
      o: username=NAS登录账号,password=NAS登录密码,vers=3.0,uid=0,gid=0,dir_mode=0777,file_mode=0777
      device: //NAS的IP/共享目录名/gitlab/config
  gitlab_logs:
    driver: local
    driver_opts:
      type: cifs
      o: username=NAS登录账号,password=NAS登录密码,vers=3.0,uid=0,gid=0,dir_mode=0777,file_mode=0777
      device: //NAS的IP/共享目录名/gitlab/logs
  gitlab_data:
    driver: local
    driver_opts:
      type: cifs
      o: username=NAS登录账号,password=NAS登录密码,vers=3.0,uid=0,gid=0,dir_mode=0777,file_mode=0777
      device: //NAS的IP/共享目录名/gitlab/data

配置完成后执行docker-compose up -d重新创建容器即可。

方案3：跳过Gitlab启动时的权限校验（不推荐） #

如果前两种方案均无法使用，可以在Gitlab配置文件/etc/gitlab/gitlab.rb（对应挂载到宿主机的config目录下）添加如下配置，跳过启动阶段的目录属组调整逻辑：

storage_path['manage_storage_directories'] = false

注意：使用该方案需要手动提前将CIFS挂载的config、logs、data三个目录权限设置为全读写，否则Gitlab运行过程中仍会出现写入失败问题，且后续版本升级可能出现配置不兼容的情况。

内容的提问来源于stack exchange，提问作者Knuckle