如何在容器内以非root用户运行/kaniko/executor构建镜像？

• 企业内部OKD集群首次引入Kaniko，计划接入现有Jenkins CI流程实现容器镜像构建
• Jenkins Agent以Pod形式运行在OKD集群，Kaniko作为同Pod内的独立容器协同运行
• 企业CI安全规范强制要求：集群内所有运行器Pod必须以非root用户身份启动执行
• 初始采用官方Kaniko镜像gcr.io/kaniko-project/executor:v1.5.1-debug，镜像内全文件系统归属root用户，不符合非root运行要求
• 已尝试的修复路径：从源码编译/kaniko/executor二进制，在自定义Dockerfile中对/kaniko、/workspace目录执行chmod -R 777赋予全权限后构建自定义镜像

触发报错 #

Error: error resolving dockerfile path: copying dockerfile: chown /kaniko/Dockerfile: operation not permitted

以下方案均符合非root运行的安全要求，不需要额外提权即可正常运行：

• 方案1：直接使用官方镜像+配置适配（推荐，无需自定义构建镜像）
  1. Kaniko v1.5.1以上版本原生支持非root运行，镜像内已预置UID/GID为1000的kaniko用户，不需要自行编译二进制
  2. 给Kaniko容器配置如下安全上下文，完全符合非root运行要求：

     securityContext:
       runAsNonRoot: true
       runAsUser: 1000
       runAsGroup: 1000
       allowPrivilegeEscalation: false
       capabilities:
         drop:
           - ALL
     

  3. 给Kaniko所在Pod配置fsGroup: 1000，保证挂载到容器的emptyDir、配置卷、工作目录对1000用户可读写，无需手动执行chmod 777
  4. 执行/kaniko/executor命令时必须追加--no-chown启动参数，该参数会禁用Kaniko构建流程中所有默认的chown操作，直接解决上述权限报错——该报错的本质是Kaniko默认会将复制到工作区的Dockerfile、构建上下文文件执行chown修改归属，非root用户无CAP_CHOWN系统权限就会触发operation not permitted。
     注意：严禁通过给容器加CAP_CHOWN权限绕过报错，该操作违反最小权限安全规范，存在容器逃逸风险
• 方案2：自定义镜像适配（适用于需要修改Kaniko源码、定制功能的场景）
  不要仅对目录执行chmod 777，按如下逻辑编写自定义Dockerfile即可：

  # 构建阶段：自行编译/kaniko/executor二进制的过程省略
  FROM gcr.io/kaniko-project/executor:v1.5.1-debug
  # 构建阶段临时使用root完成权限配置，不影响运行时身份
  USER root
  # 创建固定UID/GID的非root运行用户
  RUN addgroup -g 1000 kaniko && adduser -G kaniko -u 1000 -D -H kaniko
  # 替换自定义编译的executor二进制
  COPY --from=builder /your/build/path/executor /kaniko/executor
  # 将Kaniko运行依赖的所有目录归属给非root用户，覆盖/kaniko、/workspace、/tmp三个路径
  RUN chown -R 1000:1000 /kaniko /workspace /tmp
  # 切换到非root用户作为默认运行用户
  USER 1000
  # 启动命令默认带上--no-chown参数，避免运行时遗漏
  ENTRYPOINT ["/kaniko/executor", "--no-chown"]
  

• 方案3：适配OKD默认随机UID安全策略
  OKD默认的安全上下文约束会给Pod分配随机非root UID运行，不支持固定UID的场景下，可以通过init容器完成目录权限初始化，不需要修改基础镜像：
  1. 在Jenkins Agent Pod中添加一个init容器，使用和Kaniko相同的官方镜像，以root身份运行（init容器仅做目录初始化，不参与业务构建流程，符合安全规范），执行命令将/kaniko、/workspace目录权限设置为全局可读写
  2. Kaniko容器配置runAsNonRoot: true，不指定固定runAsUser，启动命令追加--no-chown参数即可正常运行

内容的提问来源于stack exchange，提问作者karthik ravi