如何让Docker无需sudo拥有目录创建权限？Mongo容器备份权限问题求助

这问题我碰到过好几次，核心原因是你直接让容器内的mongodump往宿主机的目录写，但容器本身是隔离的——既没有访问宿主机该目录的权限，容器内运行进程的用户（Mongo容器默认是mongo用户，UID通常为999）也和宿主机目录的权限不匹配。给你几个靠谱的解决办法：

1. 挂载宿主机目录到容器内（最推荐） #

不要直接指定宿主机路径作为--out参数，而是用-v参数把宿主机的/tmp/jenkins_workspaces/full_deploy/挂载到容器内的一个路径（比如/mongo-backup），然后让mongodump输出到容器内的这个挂载路径。这样容器就能通过挂载点直接操作宿主机目录，同时可以调整权限匹配。

示例命令：

docker run --rm --name mongocontainer65 -v /tmp/jenkins_workspaces/full_deploy/:/mongo-backup mongo mongodump --host HOST --username ADMN --password PASS --authenticationDatabase admin --ssl --db cmsDev --out /mongo-backup/

这里加了--rm，容器执行完备份会自动删除，避免残留无用容器。

如果还是遇到权限问题，可以先在宿主机调整目标目录的权限，匹配容器内mongo用户的UID：

# 给宿主机目录赋予mongo用户（UID 999）的读写权限
sudo chown 999:999 /tmp/jenkins_workspaces/full_deploy/

（如果你无法使用sudo，可以联系运维调整该目录权限，或者用Jenkins用户的UID来运行容器，下文会提到）

2. 以宿主机有权限的用户身份运行容器 #

如果无法调整宿主机目录权限，可以让容器以宿主机上拥有该目录权限的用户（比如Jenkins用户）身份运行。先查该用户的UID：

id -u jenkins  # 假设输出是1000

然后在docker run命令中加入-u参数指定UID/GID：

docker run --rm --name mongocontainer65 -u 1000:1000 -v /tmp/jenkins_workspaces/full_deploy/:/mongo-backup mongo mongodump --host HOST --username ADMN --password PASS --authenticationDatabase admin --ssl --db cmsDev --out /mongo-backup/

这样容器内的进程就会以Jenkins用户的身份运行，自然拥有宿主机目录的读写权限。

3. 临时方案：先备份到容器内再复制到宿主机 #

如果不想挂载目录，可以先在容器内完成备份，再把文件复制到宿主机。步骤如下：

# 启动交互式容器
docker run -it --name mongocontainer65 mongo bash
# 在容器内创建备份目录并赋予权限
mkdir -p /tmp/mongo-backup/
chown mongo:mongo /tmp/mongo-backup/
# 执行mongodump备份到容器内目录
mongodump --host HOST --username ADMN --password PASS --authenticationDatabase admin --ssl --db cmsDev --out /tmp/mongo-backup/
# 退出容器后，把备份文件复制到宿主机
docker cp mongocontainer65:/tmp/mongo-backup/ /tmp/jenkins_workspaces/full_deploy/
# 最后删除容器
docker rm mongocontainer65

这个方法步骤繁琐，适合临时应急，不推荐长期使用。

不推荐的方案：以root用户运行容器 #

你可以加--user root参数让容器以root身份运行，这样容器内进程有更高权限，但会带来安全风险，生产环境绝对不建议这么做：

docker run --name mongocontainer65 --user root mongo mongodump --host HOST --username ADMN --password PASS --authenticationDatabase admin --ssl --db cmsDev --out /tmp/jenkins_workspaces/full_deploy/

而且即使以root运行，容器内的/tmp还是容器自己的文件系统，不是宿主机的，所以还是挂载目录的方法更根本。

内容的提问来源于stack exchange，提问作者configureMe