为什么Dockerfile中设置的umask不生效？如何正确配置容器umask？

问题原因 #

1. umask命令使用错误：umask是shell进程级的权限掩码属性，不支持绑定到特定目录，你写的umask 000 /var/www/html/storage/logs属于无效语法，shell会直接忽略后面的路径参数，甚至执行报错，相当于没配置成功。
2. Dockerfile RUN指令的作用范围限制：RUN指令仅在镜像构建阶段的临时子shell中执行，执行完成后临时shell就销毁了，里面设置的umask不会留存到镜像运行时的进程环境中。
3. ENTRYPOINT脚本中umask的作用范围有限：就算你在start.sh里写对了umask，这个配置也只会影响start.sh自身启动的子业务进程，你执行docker exec进入容器时，会启动一个全新的独立shell进程，默认继承系统全局umask（0022），所以你exec进去查看到的umask值不代表业务进程的umask配置。

正确配置方案 #

场景1：需要容器内所有进程（包括exec进入的shell）默认使用000 umask #

• 方案A：Docker 23.0及以上版本，启动容器时直接指定umask参数：

docker run --umask 000 <你的镜像名>

• 方案B：修改容器内全局shell配置，永久生效：
  在Dockerfile中添加如下指令，把umask配置写入全局登录配置：

# 针对登录shell生效
RUN echo 'umask 000' >> /etc/profile
# 针对非登录交互式shell生效（适配exec进入的场景）
RUN echo 'umask 000' >> /etc/bash.bashrc
# 如果容器默认用sh而非bash，加下面这行
RUN echo 'umask 000' >> /etc/profile.d/umask.sh && chmod +x /etc/profile.d/umask.sh

场景2：仅需要/var/www/html/storage/logs目录下新建的文件默认全开权限，不需要修改全局umask #

推荐使用目录默认ACL实现，这是唯一可以绑定到特定目录的权限控制方案：

# 先安装acl工具（Debian/Ubuntu系示例，CentOS系用yum install acl）
RUN apt update && apt install -y --no-install-recommends acl && rm -rf /var/lib/apt/lists/*
# 给目标目录设置默认ACL，所有新建文件/目录权限全开，同时设置setgid位继承用户组
RUN setfacl -d -m u::rwx,g::rwx,o::rwx /var/www/html/storage/logs \
    && chmod g+s /var/www/html/storage/logs

场景3：仅需要ENTRYPOINT启动的业务进程使用000 umask #

直接修正start.sh脚本中的umask写法即可，去掉后面的路径参数：

#!/bin/sh
# 放在脚本最开头，所有后续启动的子进程都会继承该umask
umask 000
# 后面接你原来的业务启动逻辑

如果要验证业务进程的umask是否生效，不要直接exec进去查，要查业务进程的proc信息：

# 先找到业务进程的PID，容器主进程默认PID为1
cat /proc/1/status | grep Umask

输出如果是Umask: 0000就代表配置成功了。

内容的提问来源于stack exchange，提问作者Qiulang