OpenShift非root Nginx容器日志不滚动需补充的Dockerfile权限

当前oc logs无法获取Nginx运行日志的问题，由两个核心逻辑偏差导致：

1. OpenShift日志采集规则的适配问题：oc logs仅采集容器主进程直接输出到stdout、stderr标准流的内容，不会读取容器内部写入本地文件的日志。Debian版Nginx镜像的默认配置，是将访问日志、错误日志直接写入/var/log/nginx路径下的本地文件，不走标准流，自然无法被采集。你能看到入口脚本的启动日志，是因为脚本执行的输出本身走了标准流；但Nginx运行阶段的日志默认写文件，没有被抓取。
2. OpenShift非root运行的权限适配问题：OpenShift默认的restricted安全策略会强制容器使用集群随机分配的非root UID运行，这个UID既不是你Dockerfile里指定的自定义运行用户，也不属于自定义用户的所属组，仅默认归属GID 0（root组）。你之前在Dockerfile里为自定义用户配置的所有路径权限，对这个随机UID完全不生效。
   你目前能正常访问Pod服务，说明Nginx的静态资源、配置文件路径的权限已经通过某种方式满足了运行要求，但日志路径的权限适配、日志输出指向依然不符合OpenShift的规则。

• 适配/var/log/nginx目录的权限规则，替代仅给自定义用户授权的逻辑
  OpenShift的随机运行用户默认属于GID 0的补充组，因此需要把/var/log/nginx目录的组属设置为GID 0，且组权限和用户权限保持一致，让任意随机UID的用户都能正常访问，对应操作命令：
  RUN chgrp -R 0 /var/log/nginx && chmod -R g=u /var/log/nginx
  这个操作不需要提前预知OpenShift分配的随机UID，完全适配集群的非root运行规则。
• 替换Nginx的文件日志输出为标准流输出，二选一即可：
  方式1：创建指向标准流的软链覆盖原生日志路径。操作前必须删除镜像内预存的root所有的残留日志文件，避免残留文件的权限拦截非root用户的写入：
  RUN rm -f /var/log/nginx/access.log /var/log/nginx/error.log && ln -sf /dev/stdout /var/log/nginx/access.log && ln -sf /dev/stderr /var/log/nginx/error.log
  方式2：直接修改Nginx主配置文件，将原有的本地日志路径替换为标准流路径：
  RUN sed -i 's|access_log\s+/var/log/nginx/access.log;|access_log /dev/stdout;|; s|error_log\s+/var/log/nginx/error.log;|error_log /dev/stderr;|' /etc/nginx/nginx.conf
• 清理Debian镜像默认的权限残留
  官方Debian版Nginx镜像默认的/var/log/nginx目录属组为adm，权限为750，需要替换为适配GID 0的权限设置，否则随机UID的用户会因为不在adm组，没有目录访问权限。

注意：不要误以为日志写入/var/log/nginx的本地文件后oc logs就能自动读取，这种场景下哪怕日志文件在持续增长，oc logs也不会有任何输出，因为它完全不扫描容器内的本地日志文件。

内容的提问来源于stack exchange，提问作者Monty