部署Docker版WSO2 APIM 4.5遇权限拒绝错误求排查

问题根源及解决办法 #

1. 官方镜像脚本权限调整 #

WSO2 APIM 4.5的官方镜像可能修改了docker-entrypoint.sh的权限配置，不像4.2版本默认赋予执行权限。直接拉取镜像使用的话，脚本没权限运行就会触发报错。

修复：在你的Dockerfile里添加权限赋予命令：

FROM docker.wso2.com/wso2am:4.5.0
RUN chmod +x /home/wso2carbon/docker-entrypoint.sh

2. 镜像默认运行用户变更 #

4.5版本的镜像可能切换了默认运行用户（比如从root改成wso2carbon非root用户），如果该用户对docker-entrypoint.sh没有执行权限，就会出现权限拒绝。

修复：

• 先查镜像默认用户：执行docker inspect docker.wso2.com/wso2am:4.5.0 | grep User确认。
• 如果是非root用户，在Dockerfile中先切到root赋权，再切回原用户：

FROM docker.wso2.com/wso2am:4.5.0
USER root
RUN chmod +x /home/wso2carbon/docker-entrypoint.sh
USER wso2carbon

3. 镜像拉取不完整 #

拉取4.5镜像时如果中途中断，可能导致镜像文件损坏，脚本权限异常。

修复：

• 删除本地损坏的镜像：docker rmi docker.wso2.com/wso2am:4.5.0
• 重新完整拉取：docker pull docker.wso2.com/wso2am:4.5.0
• 再重新构建你的自定义镜像。

4. Kubernetes卷挂载权限冲突 #

如果是在K8s部署时用了PersistentVolume挂载到/home/wso2carbon目录，挂载后的目录可能覆盖了镜像内原脚本的权限，导致脚本没执行权限。

修复：

• 在Pod的securityContext中设置与镜像默认用户一致的UID和GID（WSO2镜像常用UID是802）：

securityContext:
  runAsUser: 802
  fsGroup: 802

• 或者在卷挂载配置里加defaultMode: 0755，确保挂载的文件有执行权限。

验证步骤 #

修改Dockerfile后，先本地跑容器测试：

docker build -t custom-wso2am:4.5.0 .
docker run -it custom-wso2am:4.5.0 bash

进入容器后执行ls -l /home/wso2carbon/docker-entrypoint.sh，确认权限包含x（比如-rwxr-xr-x），再启动容器验证是否正常。

内容的提问来源于stack exchange，提问作者Nitesh Barnwal