如何防止Docker容器执行密钥生成脚本后退出并保持运行？

嘿，我来帮你搞定这个问题！你的容器跑完脚本就退出，核心原因是Docker容器的生命周期和主进程绑定——主进程执行完毕后，容器就会自动停止。结合你需要每5天更新一次AWS签名密钥的需求，这里有两个贴合你场景的解决方案：

既然你的脚本最终是为了更新Nginx配置并重启/reload它，不如直接让Nginx成为容器的主进程，同时用cron定期触发密钥更新逻辑，这样既保证容器持续运行，又能自动更新密钥。

1. 调整Dockerfile，配置cron和启动流程 #

假设你的基础镜像是Debian/Ubuntu系（如果是Alpine，把apt换成apk即可）：

# 用你原本的基础镜像，比如nginx:bookworm
FROM nginx:bookworm

# 安装cron工具（Debian/Ubuntu用apt，Alpine用apk add cronie）
RUN apt update && apt install -y cron && rm -rf /var/lib/apt/lists/*

# 复制你的密钥更新脚本到容器，确保有执行权限
COPY gen_new_key.sh /usr/bin/gen_new_key.sh
RUN chmod +x /usr/bin/gen_new_key.sh

# 添加cron定时任务：每5天凌晨2点执行脚本（时间可以按需调整）
RUN echo "0 2 */5 * * root /usr/bin/gen_new_key.sh >> /var/log/cron_key_update.log 2>&1" > /etc/cron.d/key-update-cron

# 给cron任务文件设置正确权限，否则cron不会执行
RUN chmod 0644 /etc/cron.d/key-update-cron

# 初始化日志文件，方便后续排查问题
RUN touch /var/log/cron_key_update.log

# 修改启动命令：先启动cron后台进程，再让Nginx以非守护进程模式运行（作为主进程）
CMD ["sh", "-c", "cron && nginx -g 'daemon off;'"]

2. 优化你的gen_new_key.sh脚本 #

现在Nginx已经是容器的主进程了，脚本里的Nginx启动逻辑可以简化，只需要reload配置即可：

#!/bin/bash
/usr/bin/generate_signing_key -k xxxx -r eu-west-2 > /usr/local/nginx/s3_signature_key.txt
{
read -r val1
read -r val2
sed -i "s!AWS_SIGNING_KEY!'$val1'!; s!AWS_KEY_SCOPE!'$val2'!; " /etc/nginx/nginx.conf
} < /usr/local/nginx/s3_signature_key.txt
# 直接reload Nginx，因为主进程已经在运行了
nginx -s reload

为什么这个方案靠谱？ #

• nginx -g 'daemon off;'让Nginx以非守护进程模式运行，成为容器的主进程，只要Nginx不崩溃，容器就会一直运行。
• cron会在后台默默运行，到点就触发密钥更新脚本，脚本执行完后不会影响主进程（Nginx）的运行。

如果不想大改现有配置，也可以让脚本执行完后启动一个持续运行的“占位”进程，比如tail -f /dev/null：

修改启动命令 #

把原来的CMD改成下面这样：

CMD ["sh", "-c", "/usr/bin/gen_new_key.sh && tail -f /dev/null"]

同时记得在Dockerfile里安装cron并添加定时任务（和方案一的步骤一样），这样容器启动时会先执行一次密钥更新，然后tail -f /dev/null作为主进程保持容器运行，cron定期执行脚本。

⚠️ 注意：这个方案的主进程是tail而不是Nginx，如果你需要监控Nginx的运行状态或者用Docker的健康检查，会不太方便，所以更推荐方案一。

容器启动后，你可以进入容器检查cron是否在运行：

docker exec -it <你的容器名> ps aux | grep cron

也可以查看日志确认脚本是否执行：

docker exec -it <你的容器名> cat /var/log/cron_key_update.log

内容的提问来源于stack exchange，提问作者DisplayName