如何在启用root_squash的NFSv4共享上通过Overlayfs2访问仅限指定组访问的文件夹？

我完全懂你的困扰——内核版Overlayfs默认会以root身份访问底层文件系统，而NFS的root_squash规则会把这个root身份映射成nobody，刚好nobody不在你指定的rovanion组里，自然就被文件夹的权限拦截了。结合你的测试场景，这里有几个可行的解决思路：

方案一：用用户命名空间让内核Overlayfs以普通用户身份访问 #

如果你的内核支持用户命名空间（大部分现代Linux发行版都支持），可以把Overlayfs的root用户映射到你的普通用户身份，这样它访问NFS共享时就不会触发root_squash的映射规则了：

1. 先确认你的UID和GID（用id rovanion查看，假设是1000:1000）：

id rovanion

2. 创建用户/组映射文件：

echo "0 1000 1" > /tmp/uid_map
echo "0 1000 1" > /tmp/gid_map

3. 在新的命名空间内挂载Overlayfs：

unshare -r --uidmap=$(cat /tmp/uid_map) --gidmap=$(cat /tmp/gid_map) \
  mount -t overlay overlay -o lowerdir=/mnt/nfs-share/,upperdir=/tmp/overlay/upper/,workdir=/tmp/overlay/work/ /mnt/overlay/

挂载完成后，你再访问/mnt/overlay/rovanion应该就能正常查看内容了。

方案二：改用fuse-overlayfs（用户态实现，更省心） #

内核Overlayfs的root身份问题是天生的，但用户态的fuse-overlayfs会以当前用户的身份访问底层文件系统，完美避开这个问题：

1. 先安装fuse-overlayfs（根据你的发行版调整命令）：

# Debian/Ubuntu
sudo apt install fuse-overlayfs
# RHEL/CentOS/Rocky Linux
sudo dnf install fuse-overlayfs

2. 直接以普通用户身份挂载（不需要sudo，只要你对upper和work目录有写权限）：

mkdir -p /tmp/overlay/{work,upper}
fuse-overlayfs -o lowerdir=/mnt/nfs-share/,upperdir=/tmp/overlay/upper/,workdir=/tmp/overlay/work/ /mnt/overlay/

这个方法兼容性更好，操作也简单，我个人更推荐这个方案。

方案三：调整NFS服务器的export参数（如果有权限修改的话） #

如果你能修改NFS服务器的配置，可以把root_squash替换成all_squash，并指定匿名用户为你的账号，这样所有访问NFS的请求都会被映射成你的身份，包括Overlayfs的root访问：

1. 修改/etc/exports文件，把原来的行改成：

/mnt/ext4-file/ localhost(ro,fsid=123123,all_squash,anonuid=1000,anongid=1000)

（注意把1000换成你实际的UID和GID）
2. 重启NFS服务并重新导出共享：

sudo systemctl restart nfs-server.service nfs-mountd.service
sudo exportfs -rv

3. 重新挂载客户端的NFS共享，再挂载Overlayfs，就能正常访问目标文件夹了。

这些方案都能解决你遇到的权限问题，你可以根据自己的实际情况选择最适合的一种。

备注：内容来源于stack exchange，提问作者Rovanion