权限被拒绝，mkdir 在 openshift 上的容器中

Question

我有一个带有 nodejs 和 pm2 作为启动命令的容器，在 OpenShift 上我在启动时收到此错误：

错误：EACCES：权限被拒绝，mkdir '/.pm2'

我在马拉松主机上尝试了相同的图像，效果很好。

我需要更改 UserIds 的某些内容吗？

Dockerfile：

FROM node:7.4-alpine

RUN npm install --global yarn pm2

RUN mkdir /src

COPY . /src

WORKDIR /src

RUN yarn install --production

EXPOSE 8100

CMD ["pm2-docker", "start", "--auto-exit", "--env", "production", "process.yml"]

更新
节点映像已经创建了一个 UID 为 1000 的新用户“节点”，以不以 root 身份运行映像。
我还尝试修复权限并将用户“节点”添加到根组。
此外，我告诉 pm2 它应该与 ENV var 一起使用到哪个目录：

PM2_HOME=/home/node/app/.pm2

但我仍然收到错误：

Error: EACCES: permission denied, mkdir '/home/node/app/.pm2'

更新的 Dockerfile：

FROM node:7.4-alpine

RUN npm install --global yarn pm2

RUN adduser node root
COPY . /home/node/app
WORKDIR /home/node/app
RUN chmod -R 755 /home/node/app
RUN chown -R node:node /home/node/app

RUN yarn install --production

EXPOSE 8100

USER 1000

CMD ["pm2-docker", "start", "--auto-exit", "--env", "production", "process.yml"]

Update2感谢 Graham Dumpleton 我让它工作了

FROM node:7.4-alpine

RUN npm install --global yarn pm2

RUN adduser node root
COPY . /home/node/app
WORKDIR /home/node/app

RUN yarn install --production

RUN chmod -R 775 /home/node/app
RUN chown -R node:root /home/node/app

EXPOSE 8100

USER 1000

CMD ["pm2-docker", "start", "--auto-exit", "--env", "production", "process.yml"]

Answer 1

默认情况下，OpenShift将以非root用户身份运行容器。 因此，如果应用程序需要以root身份运行，则应用程序可能会失败。 是否可以将容器配置为以root身份运行取决于您在群集中拥有的权限。

最好设计容器和应用程序，以便它不必以root身份运行。

一些建议。

• 创建一个特殊的UNIX用户来运行应用程序，并在Dockerfile的USER语句中设置该用户（使用其uid）。 使用户组成为根组。

• 对/src目录及其下的所有内容的修复权限由特殊用户拥有。 确保一切都是组根。 确保需要可写的任何内容都可写入组root。

• 确保在Dockerfile中将HOME设置为/src 。

完成后，当OpenShift将您的容器作为已分配的uid运行时，其中组是root，然后凭借一切可写组，应用程序仍然可以更新/src下的文件。 设置的HOME变量确保通过代码写入主目录的任何内容都进入可写/src区域。

Answer 2

您还可以运行以下命令，授予您以 root 身份登录的项目的访问权限：

oc adm policy add-scc-to-user anyuid -z default

Answer 3

Graham Dumpleton 的解决方案有效但不推荐。

Openshift，将在运行容器时使用随机 UID。

您可以在 Pod 生成的 Yaml 中看到这一点。

spec:
    - resources:
      securityContext:
        runAsUser: 1005120000

您应该改为应用 Docker 安全最佳实践来编写 Dockerfile。

1. 不要将应用程序的执行绑定到特定的 UID：使资源在需要时可读（即 0644 而不是 0640）和可执行。

2. 使 root 拥有的可执行文件不可写

有关推荐的完整列表，请参阅： https : //sysdig.com/blog/dockerfile-best-practices/

在您的情况下，不需要：

RUN adduser node root
...
RUN chown -R node:node /home/node/app
USER 1000

在最初的问题中，应用程序文件已经由 root 拥有。
以下 chmod 足以使它们对世界可读和可执行。

RUN chmod -R 775 /home/node/app

Answer 4

你使用什么样的openhift？

您可以编辑“受限制的”安全上下文约束：

来自openshift CLI：

oc edit scc restricted 

并改变：

runAsUser:
  type: RunAsUSer

至

runAsUser:
  type: RunAsAny

请注意Graham Dumpleton的答案是正确的