Debian Docker容器挂载Cloud Filestore失败，寻求解决方案

从你给出的错误信息来看，核心问题集中在容器权限不足和NFS锁服务缺失，同时网络与防火墙配置也需要确认。下面一步步帮你解决：

1. 修复容器权限问题（Operation not permitted） #

Docker容器默认没有挂载NFS所需的内核级权限，你需要在启动容器时添加CAP_SYS_ADMIN能力，同时关闭AppArmor限制（如果系统启用了该功能）。

启动容器的命令调整为：

docker run -it --cap-add SYS_ADMIN --security-opt apparmor:unconfined debian:latest

如果是已经运行的容器，需要停止后重新启动并加上这些参数——权限无法在容器运行中动态添加。

2. 安装NFS依赖并启动rpc.statd #

容器内默认没有预装NFS客户端组件，先安装包含rpc.statd的nfs-common包：

apt update && apt install -y nfs-common

然后直接启动rpc.statd服务（容器内通常没有systemd，直接执行二进制文件即可）：

rpc.statd --no-notify

这个服务是NFS远程文件锁定的必需组件，错误信息里也明确提示了它的缺失。

3. 确认Google Cloud网络与防火墙配置 #

Filestore和你的Debian虚拟机必须满足以下网络条件：

• 两者处于同一个VPC网络（或通过VPC对等连接打通）
• 配置GCP防火墙规则允许NFS流量：
  • 创建一条入站规则，允许来源为你的虚拟机子网IP段的流量访问Filestore实例的2049/tcp端口（NFS v4的默认端口）
  • 确保虚拟机的出站规则允许访问Filestore的IP和2049端口（默认情况下GCP虚拟机出站规则允许所有流量，除非你自定义了限制）

4. 执行挂载命令 #

先在容器内创建挂载点：

mkdir -p /mnt/filestore

然后执行挂载（替换成你的Filestore共享路径）：

mount -t nfs -o vers=4.2 10.32.222.111:/vol1 /mnt/filestore

如果仍遇到锁相关问题，可以临时添加nolock参数跳过远程锁测试：

mount -t nfs -o vers=4.2,nolock 10.32.222.111:/vol1 /mnt/filestore

不过建议优先启动rpc.statd来保证文件锁定功能正常，避免多客户端访问时出现数据一致性问题。

额外提示：持久化挂载 #

如果希望容器重启后自动挂载Filestore，可以把挂载配置添加到容器的/etc/fstab文件中：

10.32.222.111:/vol1 /mnt/filestore nfs vers=4.2 0 0

注意每次启动容器时，要确保rpc.statd已经运行，或者在容器启动脚本中加入启动该服务的命令。

内容的提问来源于stack exchange，提问作者asaf