Azure容器实例与Azure存储权限问题：GitLab挂载后无法修改目录权限

这是个很常见的Azure Files + GitLab ACI部署问题，核心原因是Azure Files的SMB协议与Linux POSIX权限模型的兼容性限制——默认情况下，SMB挂载的目录/文件权限由挂载参数控制，容器内直接执行chmod会因协议约束被拒绝。以下是几个无需自定义镜像的可行方案：

1. 挂载Azure Files时指定POSIX权限参数 #

GitLab容器内运行的git用户UID和GID均为999，你可以在挂载Azure Files时直接配置权限参数，让挂载的目录/文件默认拥有符合要求的权限，从根源上避免chmod操作。

Azure CLI示例 #

部署ACI时，通过--azure-file-volume-mount-options参数指定权限：

az container create \
  --resource-group <your-resource-group> \
  --name <your-gitlab-container> \
  --image gitlab/gitlab-ce:latest \
  --azure-file-volume-account-name <storage-account-name> \
  --azure-file-volume-account-key <storage-account-key> \
  --azure-file-volume-share-name <file-share-name> \
  --azure-file-volume-mount-path /var/opt/gitlab \
  --azure-file-volume-mount-options "uid=999,gid=999,dir_mode=0700,file_mode=0600"

ARM模板示例 #

在卷的mountOptions字段中添加配置：

"volumes": [
  {
    "name": "gitlab-storage",
    "azureFile": {
      "shareName": "<file-share-name>",
      "storageAccountName": "<storage-account-name>",
      "storageAccountKey": "<storage-account-key>",
      "mountOptions": ["uid=999", "gid=999", "dir_mode=0700", "file_mode=0600"]
    }
  }
]

2. 通过环境变量禁用GitLab的SSH目录权限检查 #

GitLab提供了配置项可以跳过/var/opt/gitlab/.ssh目录的权限检查，你可以通过环境变量直接传递这个配置，无需修改镜像或配置文件。

部署ACI时添加环境变量：

az container create \
  # 其他参数...
  --environment-variables GITLAB_RAILS_CHECK_SSH_DIR_PERMISSIONS=false

这个配置会让GitLab启动时不再执行chmod 0700操作，也就规避了权限修改失败的报错。

3. 提前在Azure Files中创建.ssh目录并设置POSIX权限（需ADLS Gen2存储账户） #

如果你的存储账户启用了分层命名空间（ADLS Gen2），它支持完整的POSIX权限控制。你可以提前在文件共享中创建.ssh目录并设置正确的权限，挂载后容器即可直接使用：

az storage file directory create \
  --account-name <storage-account-name> \
  --account-key <storage-account-key> \
  --share-name <file-share-name> \
  --name .ssh \
  --permissions 0700 \
  --owner 999:999

执行完这个命令后再部署ACI，挂载的.ssh目录已经拥有0700权限，GitLab无需再修改。

内容的提问来源于stack exchange，提问作者MUHAHA