Docker构建PredictionIO镜像报Operation not permitted错误求解

• 修正Dockerfile的权限配置顺序
  确保权限修改操作在切换运行用户前执行，参考正确指令顺序：

  # 先以root身份执行权限配置
  RUN chmod 777 -R /PredictionIO-0.14.0/lib/spark/ \
      && chown -R pio:pio /PredictionIO-0.14.0 # 此处pio替换为实际运行pio命令的用户名
  # 再切换到普通用户执行后续构建操作
  USER pio
  RUN pio build --verbose
  

• 规避CI Docker环境的User Namespace重映射限制
  多数公有Git CI的Docker runner默认开启userns-remap，容器内root用户映射到宿主机非特权用户，会导致即使设置777权限也出现访问拒绝。可在CI构建参数中添加--userns=host禁用重映射，或在Dockerfile中新增以下指令覆盖目录权限掩码：

  RUN setfacl -R -m u:$(whoami):rwx /PredictionIO-0.14.0/lib/spark/ || chmod -R o+rwx /PredictionIO-0.14.0/lib/spark/
  

• 排除Spark包解压的权限遗留问题
  若你是通过ADD指令直接下载解压Spark压缩包到目标目录，替换为手动下载解压并显式授权的方式，避免压缩包内原有只读权限继承：

  RUN wget -q <对应版本Spark压缩包下载地址> \
      && tar -xzf spark-*.tgz --no-same-owner \
      && mv spark-*/jars/* /PredictionIO-0.14.0/lib/spark/ \
      && rm -rf spark-*.tgz spark-*
  

• 临时关闭构建阶段的安全限制
  若上述方案无效，可在pio build命令前临时取消安全模块限制：

  RUN setenforce 0 2>/dev/null || true \
      && pio build --verbose
  

内容的提问来源于stack exchange，提问作者Jhon