非root用户在Docker中修改/etc/resolv.conf的可行方案问询

我之前也碰到过类似的问题，给你几个实用的解决方案，从最符合Docker最佳实践的到最小权限授予的都有：

其实你根本不需要手动修改/etc/resolv.conf——Docker本身就支持通过参数自动配置DNS搜索域，完全绕开权限问题，这也是最符合Docker设计理念的方式。

如果是用命令行启动容器，可以直接加--dns-search参数：

docker run --dns-search dev.yourdomain.com --dns-search qa.yourdomain.com -u appuser your-image

如果用Docker Compose，直接在配置里添加dns_search字段：

services:
  your-app:
    build: .
    user: appuser
    dns_search:
      - dev.yourdomain.com
      - qa.yourdomain.com
      - prod.yourdomain.com

这样Docker会自动把这些搜索域写入容器的/etc/resolv.conf，完全不需要你的脚本手动修改，非root用户也能正常使用DNS解析。

如果必须通过脚本修改这个文件，你可以在Dockerfile里预先调整文件权限，给非root用户最小的写入权限：

方法A：直接修改文件属组和权限 #

# 创建非root用户
RUN useradd -m appuser

# 将/etc/resolv.conf的属组改为appuser，并给组用户写入权限
RUN chown root:appuser /etc/resolv.conf && chmod g+w /etc/resolv.conf

# 切换到非root用户
USER appuser

ENTRYPOINT ["./env.sh"]

方法B：用setfacl做更精细的权限控制 #

如果不想修改属组，可以用ACL来单独给appuser授予写入权限：

RUN useradd -m appuser

# 安装acl工具（部分基础镜像可能没有）
RUN apt-get update && apt-get install -y acl && rm -rf /var/lib/apt/lists/*

# 给appuser授予/etc/resolv.conf的写入权限
RUN setfacl -m u:appuser:w /etc/resolv.conf

USER appuser
ENTRYPOINT ["./env.sh"]

⚠️ 注意：有些Docker环境下，容器启动时会重新挂载/etc/resolv.conf，导致之前设置的权限被重置。如果碰到这种情况，可以在env.sh脚本开头先重新执行一次权限设置命令（需要在Dockerfile里提前给用户执行这些命令的权限，比如通过sudo）。

如果不想直接修改文件权限，还可以给非root用户配置sudo权限，仅允许执行修改/etc/resolv.conf的特定命令，遵循最小权限原则：

RUN useradd -m appuser

# 创建sudo规则文件，允许appuser无需密码执行追加DNS域到resolv.conf的命令
RUN echo "appuser ALL=(ALL) NOPASSWD: /bin/sh -c 'echo * >> /etc/resolv.conf'" >> /etc/sudoers.d/appuser

# 确保sudo规则文件权限正确（必须是0440）
RUN chmod 0440 /etc/sudoers.d/appuser

USER appuser

然后在你的env.sh脚本里，把修改文件的命令改成用sudo执行：

sudo sh -c "echo 'search $ENV_DOMAIN' >> /etc/resolv.conf"

这样非root用户只能通过sudo执行这一个特定操作，不会获得其他root权限。

内容的提问来源于stack exchange，提问作者NRA