Ubuntu20主机Docker挂载卷写入权限配置疑问及最佳实践咨询

• Linux 内核只识别 UID/GID 数字，不识别用户名/用户组名，Docker 容器共享宿主机内核，因此 UID/GID 在宿主机和容器间是全局一致的，容器内 /etc/passwd、/etc/group 仅负责容器内部的数字到名称映射，不影响内核权限判断。
• 绑定挂载宿主机目录到容器内时，目录本身的权限、所有者 UID/GID 会完全继承到容器环境中，容器内运行进程的 UID 如果没有该目录的对应权限，就会触发写入报错。
• 你观察到的写入文件归属 82:82 确实是容器内运行进程的 UID/GID，该数字直接对应宿主机内核的权限主体，哪怕宿主机上没有创建 UID 为82的用户，内核也会识别该权限标识。

首先不推荐将目录权限设置为777，也不推荐在宿主机创建和容器UID相同的用户，前者有严重安全风险，后者容易出现UID冲突。优先选择以下两种方案：

1. 启动容器时指定运行 UID/GID
   如果容器镜像支持自定义运行用户，启动时添加--user参数直接指定宿主机挂载目录所有者对应的UID/GID即可，示例命令：

docker run -d --user 1000:1000 -v /宿主机/挂载目录:/容器内/路径 镜像名

如果使用docker-compose，在对应服务配置块中添加user: "1000:1000"配置即可。
这里指定的UID/GID是内核层面的全局标识，容器内进程会以该UID运行，天然拥有宿主机对应UID的目录权限，不需要修改目录权限配置。

2. 为容器UID配置ACL权限
   如果镜像强制固定了运行UID（比如很多Web服务镜像默认用82UID运行进程无法修改），可以通过Linux ACL给指定UID单独开放挂载目录权限，不需要在宿主机创建对应用户，也不会和现有用户冲突，示例命令：

# 给UID 82开放挂载目录的读写执行权限
sudo setfacl -R -m u:82:rwx /宿主机/挂载目录
# 如果需要GID也开放权限，执行对应命令
sudo setfacl -R -m g:82:rwx /宿主机/挂载目录

如果后续需要删除ACL规则，执行sudo setfacl -R -x u:82 /宿主机/挂载目录即可。

如果不需要频繁在宿主机直接操作挂载目录的内容，也可以选择使用Docker原生命名卷代替绑定挂载，Docker会自动处理命名卷的权限适配问题。

内容的提问来源于stack exchange，提问作者Rohit