Как убедить докер создавать каталоги с правильными правами?

Question

[Arris]

Есть у нас такая тулза tyrrrz/discordchatexporter (но я думаю, от тулзы не зависит совсем, потому что проблема возникает на другом уровне)... Занимается тулза экспортом дискорд-канала в HTML/JSON итп.

На самом деле не так важно, чем она занимается, потому что проблема, судя по всему, опять же на стороне докера.

Итак, в чем подвох:

Запускаю тулзу так:

arris@blacktower:~$ docker run --rm --user 1000:1000 -v /home/arris/out/:/app/out/ tyrrrz/discordchatexporter:latest export <параметры>

Если каталог /home/arris/out/ (или любой другой) существует и права на него у пользователя 1000:1000 - то всё зашибись, экспорт работает без ошибок, на файлах правильные права и вообще все довольны.

А вот если целевой каталог НЕ СУЩЕСТВУЕТ - докер (?) его радостно создает, а потом экспорт падает с Permission Denied. Потому что, внезапно,

arris@blacktower:~$ ls -la /home/arris/out/
total 8
drwxr-xr-x 2 root  root  4096 Feb  6 21:46 .
drwxr-xr-x 9 arris arris 4096 Feb  6 21:46 ..

P.S. А если опустить --user 1000:1000 - то все прекрасно создается, экспортируется, но результат экспорта - все файлы принадлежит руту. Что тоже не то, что хочется.

ЧЯДНТ или как убедить докер создавать каталоги с правильными правами?

P.S. Разработчик тулзы тоже не настоящий сварщик и тоже ответа не знает.
P.P.S.

arris@blacktower:~$ id arris

uid=1000(arris) gid=1000(arris) groups=1000(arris), ...

Comments

[сергей кузьмин]

разбирайтесь с созданием пользователя и выполнением под ним же в Dockerfile
это все базисные вещи
https://habr.com/ru/post/448480/

у пользователя всегда можно сделать нужный uid
если помогло - я положу в ответы вы отметите решением

[Arris]

сергей кузьмин, вы предлагаете мне менять докерфайл публичного репозитория под себя? :) А можно вот без этого, можно нормальное решение?

Приведенную вам статью я уже прочитал.

[сергей кузьмин]

Arris, это и есть нормальное решение
Dockefifile:

FROM tyrrrz/discordchatexporter:latest
ваши
комады

docker build -f Dockerfile -t TTTT .
docker run TTT ...

[Arris]

сергей кузьмин, вы не понимаете проблемы.... ВНЕШНИЙ каталог на хосте создается (если не существует) с правами root:root. Вне зависимости от того, под каким пользователем был запущен докер.

И, смотрите, я добавил в докерфайл (все как в рекомендованной вами статье, ага)

WORKDIR /app # это было

RUN groupadd --gid 1000 arris && useradd --uid 1000 --gid arris --shell /bin/bash --create-home arris
USER arris

Сбилдил image, запускаю - но нет, `/home/arris/out/` создается с owner root, и при экспорте - permission denied, Хоть ты его режь.

[сергей кузьмин]

Arris, каталог волюм мапирован же

-v /home/arris/out/:/app/out/

эта стандартная проблема
напр легаси приложение пишет логи в директорию которая волюм
- то же самое log.gz будут все рутовые если не позаботиться на хосте
меняйте юзера
это все легко

[Arris]

сергей кузьмин, какого юзера менять?! Где?

[сергей кузьмин]

у меня нету ресурса чтобы дотнет контейнеры ковырять....

кстати как они - монтсруозные или ?
я это говорю потому что начните с захода в контейнер под кем там выполняется dotnet ,

если подрутом то это для вашей задачи критично изменить
ну и chowm под того юзера /app/out сделайте когда добьетесь чтоб работал под нужным юзером

[Arris]

сергей кузьмин, да блин, причем тут дотнет-контейнеры? Проблема в том, что на хосте мапящийся каталог создается ВСЕГДА с правами root:root, а не в том, что там какие-то проблемы с правами внутри.

[сергей кузьмин]

написать ванильный докерфайл который в виде контейтена запускает скажем nano от имени скажемdocker user' а и делает файл

-rw-r--r--    1 docker_u docker_u         5 Feb  7 14:10 test.txt

который оказывается
скажем в директрии проекта на хостовой машине с владельцем скажем владельцем проекта вы уже умеете

-rw-r--r-- 1 sergueik systemd-journal 5 Feb  7 14:10 test.txt

остается скрестить его с дотнет докерфайлом

Answer 1

[Михаил]

1. Использовать volume
2. Либо убедиться что каталог существует: mkdir -p <directory> && docker ...
3. Либо назначить нужного владельца каталога:

mkdir -p <directory> && chown 1000:1000 <directory> && docker ...

Если это запускается не рутом - в п.3 потребуется использовать sudo.

Comments

[Arris]

Так в конечном счете и сделал.