添加至Docker组的用户重启后丢失（Packer镜像构建场景）

我之前在使用Packer构建vSphere/ESXi镜像时也碰到过完全一样的问题——构建过程中执行usermod添加用户到docker组看起来一切正常，镜像生成也没报错，但虚拟机重启后用户就不在docker组里了。下面是我排查和解决的思路：

核心原因分析 #

你执行的newgrp docker是只对当前Shell会话生效的临时操作，不会修改系统的持久化组配置。而Packer的provisioner是在单个临时会话中执行命令，这个命令对最终镜像的用户组持久化配置没有任何帮助。另外，还有几个容易踩的坑：

• 有些系统的组配置文件（/etc/group和/etc/gshadow）可能因为缓存或者同步问题，导致usermod的变更没有被正确写入；
• 如果你的基础镜像使用了cloud-init，它可能在虚拟机首次启动时重置用户组配置，覆盖你手动添加的设置；
• 若groupadd docker命令在组已存在时执行失败，后续的usermod可能也没被正确执行，但Packer可能没抛出明显错误。

具体解决方案 #

1. 移除无效的newgrp docker命令

这个命令只在当前会话生效，完全没必要加到Packer的provision脚本里，删掉它就行。

2. 确保组变更被持久化写入

修改你的Shell provisioner，加上组存在性检查和组配置同步命令，示例如下：

provisioner "shell" {
  inline = [
    # 避免组已存在时命令失败，加|| true容错
    "sudo groupadd docker || true",
    "sudo usermod -aG docker {{user `service_user`}}",
    "sudo usermod -aG docker {{user `config_user`}}",
    # 同步/etc/group和/etc/gshadow，确保变更持久化
    "sudo grpconv",
    # 验证变更是否生效，方便在Packer日志里确认
    "grep docker /etc/group"
  ]
}

3. 处理cloud-init的干扰（如果有）

如果你的基础镜像带cloud-init，它可能在首次启动时重置用户组。你需要在Packer里配置cloud-init的user-data，明确指定用户属于docker组：

# 可以在Packer的cloud-init provisioner里加入这段配置
groups:
  - docker:
      members:
        - {{user `service_user`}}
        - {{user `config_user`}}

这样cloud-init在初始化虚拟机时会确保用户被添加到docker组，不会覆盖你的设置。

4. 验证构建过程的变更

在Packer构建日志里查看grep docker /etc/group的输出，确认两个用户已经出现在docker组的成员列表里。如果日志里没看到，说明之前的命令可能执行失败了，需要检查基础镜像是否已经有docker组，或者usermod命令的参数是否正确。

额外注意事项 #

• 不要在Packer的provisioner里执行任何会重置系统配置的清理命令（比如某些镜像自带的初始化脚本），除非你确认这些命令不会删除用户组配置；
• 生成镜像后，可以先启动虚拟机手动检查/etc/group文件，确认docker组的成员是否正确，再转换成模板部署。

内容的提问来源于stack exchange，提问作者Kevin Milner