Red Hat OpenShift部署Go应用遇CreateContainerError权限拒绝问题求助

看起来你遇到了OpenShift部署Go应用时的典型权限坑——本地跑完全正常，一到集群里就因为容器运行用户的权限限制卡壳了。我帮你拆解下问题和解决办法：

首先明确你遇到的错误核心：

status:
  containerStatuses:
    - name: go-drinkapp
      state:
        waiting:
          reason: CreateContainerError
          message: |
            container create failed: time="2024-11-18T15:36:18Z" level=error msg="runc create failed: unable to start container process: exec: \"./main\": stat ./main: permission denied"
      lastState: {}
      ready: false
      restartCount: 0
      image: 'docker.io/mridul017/go-drinkapp@sha256:4c8c422edf0f1dbbf6bed26c931412b4f1893880b446b64f4e0a6eb47005f1d8'
      imageID: ''

你的Dockerfile逻辑本身没问题，但忽略了OpenShift的关键特性：默认会以随机非root用户运行容器，而本地Docker默认用root启动，权限差异导致了问题。你之前尝试的chmod +x ./main如果是在本地执行的，根本不会影响镜像里的文件权限，必须把权限配置写到Dockerfile里才行。

解决方案一：修改Dockerfile适配非root用户运行（推荐生产环境） #

调整最终镜像阶段，确保二进制文件有全局执行权限，并且用非root用户运行：

# Use a newer Go version as the base image
FROM golang:1.23-alpine AS builder

# Set the Current Working Directory inside the container
WORKDIR /app

# Initialize the Go module inside the Docker container
RUN go mod init drink || true

# Download dependencies
COPY . .
RUN go mod tidy

# Install Swagger CLI
RUN go install github.com/swaggo/swag/cmd/swag@latest

# Run the swag init command to generate Swagger docs
RUN swag init

# Build the Go app
RUN go build -o main .

# Start a new stage from scratch
FROM alpine:latest

# 创建非root用户，避免用root运行容器
RUN adduser -D appuser
# 切换到非root用户的专属工作目录
WORKDIR /home/appuser/

# 从builder阶段复制二进制文件和文档
COPY --from=builder /app/main .
COPY --from=builder /app/docs ./docs

# 给main文件添加所有用户的执行权限，同时确保目录对非root用户可访问
RUN chmod +x ./main && chmod -R 755 /home/appuser/

# 切换到非root用户运行容器
USER appuser

# Expose port 8082 to the outside world
EXPOSE 8082

# Command to run the executable
CMD ["./main"]

解决方案二：临时调整OpenShift安全上下文约束（仅测试用，不推荐生产） #

如果你只是想快速验证问题，不想改Dockerfile，可以临时给当前命名空间的默认服务账号添加anyuid权限（允许以任意用户运行容器）：

oc adm policy add-scc-to-user anyuid -z default -n 你的命名空间名称

⚠️ 注意：这个操作会降低集群安全性，生产环境绝对不要这么做！

为什么本地没问题？ #

本地Docker默认使用root用户启动容器，root用户对所有文件都有执行权限，所以不会碰到权限问题。但OpenShift为了安全，强制容器以非root身份运行，这时候如果二进制文件没有给其他用户执行权限，就会出现permission denied错误。

验证步骤 #

• 用修改后的Dockerfile重新构建镜像：docker build -t 你的镜像名:新版本 .
• 把新镜像推送到镜像仓库
• 在OpenShift里重新部署应用，或者触发滚动更新

这样应该就能解决CreateContainerError的权限问题了。

备注：内容来源于stack exchange，提问作者Mahedi