EKS中Docker容器运行Ansible出现/.ansible目录创建权限拒绝错误

本地运行正常、EKS集群内触发权限报错，是两个规则叠加导致的：

• Ansible 2.9版本的本地临时目录默认路径，是基于当前用户的家目录拼接生成的，正常场景下路径应为<当前用户家目录>/.ansible/tmp。
• 本地与EKS的运行环境存在本质差异：
  • 本地启动容器时通常以root用户运行，root的默认家目录为/root，路径解析正常且对目录有完全写权限，因此无报错。
  • EKS集群默认遵循容器最小权限运行规范，会强制容器以非root用户启动；而你使用的裸ubuntu基础镜像，没有为非root用户配置有效的HOME环境变量。当HOME值为空时，Ansible的路径解析逻辑会将~ fallback 到根目录/，最终触发创建/.ansible目录的操作。非root用户对容器根目录没有写权限，直接抛出版本栈中的PermissionError。

所有方案均可直接修改现有Dockerfile实现，无需调整EKS集群侧配置：

• 方案1：显式指定Ansible临时目录，绕开自动解析逻辑
  在Dockerfile中新增环境变量配置：

  ENV ANSIBLE_LOCAL_TMP /tmp/ansible/tmp
  

  容器内的/tmp目录默认全局可写，不受运行用户身份限制，从根源上消除对家目录路径的依赖。
• 方案2：修正容器默认HOME环境变量
  在Dockerfile中新增配置：

  ENV HOME /tmp
  

  此时Ansible解析~时会拼接出/tmp/.ansible/tmp路径，非root用户对/tmp具备写权限，不会触发权限错误。
• 方案3：适配EKS固定非root运行用户的权限
  如果EKS指定了固定的非root运行用户（如默认的nobody用户），可在Dockerfile中提前配置用户目录权限：

  RUN mkdir -p /var/run/nobody && chown nobody:nogroup /var/run/nobody
  ENV HOME /var/run/nobody
  

  确保运行用户对自身家目录拥有完全写权限。

进入EKS内运行异常的容器，执行echo $HOME命令，若返回值为空，即可100%验证上述成因判断的准确性——空HOME值直接导致~解析为根目录，和报错栈里的/.ansible路径完全对应。

内容的提问来源于stack exchange，提问作者Snowcrash