如何将现有预构建Docker容器修改为rootless模式适配Kubernetes部署

核心思路为基于现有预构建镜像构建衍生镜像，无需原源码即可完成rootless改造，具体操作如下：

1. 衍生镜像Dockerfile编写模板 #

直接继承原有镜像，在其上做权限和用户配置调整即可：

# 替换为你拿到的原始预构建镜像地址与标签
FROM your-original-image:tag

# 先切换为root身份执行配置修改（多数预构建镜像默认启动身份为root，即便不是也可先切回root调整）
USER root

# 创建固定UID/GID的非root用户，K8s场景建议使用10000以上的非特权UID，避免和节点宿主用户ID冲突
RUN groupadd -g 10001 appgroup && \
    useradd -u 10000 -g appgroup -m -s /sbin/nologin appuser

# 调整镜像内软件需要读写的路径所有权与权限，可根据实际业务增减路径
# 常见需要调整的路径包括：软件安装目录、日志目录、临时文件目录、数据存储目录、配置文件目录
RUN chown -R appuser:appgroup /opt /var/log /var/run /tmp && \
    chmod -R g=u /opt /var/log /var/run /tmp # 组权限与用户权限保持一致，方便K8s侧fsGroup配置兼容

# 可选配置：如果原服务默认监听1024以下的特权端口，需要给对应二进制文件加端口绑定能力，避免非root用户无法启动
# 示例：服务二进制路径为/usr/bin/your-app，监听80端口时执行
# RUN setcap 'cap_net_bind_service=+ep' /usr/bin/your-app

# 指定非root家目录，避免部分服务硬编码读写/root目录报错
ENV HOME=/home/appuser

# 最后切换为非root用户作为默认启动身份
USER 10000

执行docker build -t your-new-rootless-image:tag .即可生成改造后的rootless镜像。

2. 镜像内读写路径排查方法 #

如果不清楚原镜像的业务读写路径，可通过以下方式快速定位：

• 执行docker history your-original-image:tag --no-trunc查看原镜像构建历史，获取WORKDIR、VOLUME、ENTRYPOINT等配置，明确涉及的路径
• 临时启动原镜像容器，执行ps aux查看进程运行目录、加载的配置文件路径
• 临时启动原镜像容器后执行find / -user root -perm /u+w列出root用户可写的路径，这些都是需要调整权限的候选路径

3. Kubernetes侧配套配置调整 #

仅修改镜像不足以适配K8s的Pod安全准入规则，需要在Deployment的Pod Spec中补充securityContext配置：

spec:
  securityContext:
    runAsNonRoot: true
    runAsUser: 10000
    runAsGroup: 10001
    allowPrivilegeEscalation: false
    capabilities:
      drop:
        - ALL
      # 如果你之前在镜像中给二进制加了NET_BIND_SERVICE能力，需要在这里放开
      # add:
      #   - NET_BIND_SERVICE
    seccompProfile:
      type: RuntimeDefault
    # 如果用到PVC持久化存储，补充fsGroup保证卷挂载后权限符合非root用户要求
    # fsGroup: 10001
  containers:
  - name: your-app
    image: your-new-rootless-image:tag
    # 其他容器配置省略

4. 常见问题排查 #

• 启动报权限错误：执行kubectl exec -it <失败pod名> --user 0 /bin/bash临时以root身份进入容器，定位具体报错的路径，补充到Dockerfile的chown列表后重新构建镜像即可
• 端口监听失败：如果是1024以下端口，要么按前文步骤添加NET_BIND_SERVICE能力，要么修改服务配置改为监听1024以上的非特权端口
• 进程异常崩溃：排查是否存在硬编码读写/root目录、/etc目录下系统配置的情况，对应调整目录权限或者软链接到非root用户有权限的路径即可

内容的提问来源于stack exchange，提问作者user16910040