当我不想编辑的 Tomcat Docker 映像不作为 ROOT 运行时，如何写入 ROOT 拥有的目录？

Question

我有一个正在尝试使用 K8s 运行的 docker 映像。我可以让它在我的家庭环境中运行，但不能在我的工作场所运行，因为我们无法在 k8 集群上以 root 身份运行。

docker 镜像是一个 Tomcat 服务器，其中包含一个 WAR 文件：

/usr/local/tomcat/webapps/ROOT.war

在启动过程中，Tomcat 尝试将 WAR 分解到此处的目录中：

/usr/local/tomcat/webapps/ROOT

但它不能这样做，因为 /usr/local/tomcat/webapps/ 归 ROOT 所有。

所以我认为最好的解决方法是像这样使用 emptyDir{} 挂载一个卷：

apiVersion: v1
kind: Pod
metadata:
  name: test-pd
spec:
  containers: 
    ...
    name: test-container
    volumeMounts:
    - mountPath: //usr/local/tomcat/webapps/ROOT
      name: tomcat
  volumes:
  - name: tomcat
    emptyDir: {}

但这不起作用，因为它只是在 webapps 下创建一个空的 ROOT 文件夹，Tomcat 无法将 WAR 爆炸到，因为它希望自己创建 ROOT。

我也试过这个：

    volumeMounts:
    - mountPath: //usr/local/tomcat/webapps
      name: tomcat

但现在 /webapps 只是一个空文件夹，因为我假设我正在覆盖容器在启动时为我设置的内容。

我显然在这里遗漏了一些基本的东西......我不想编辑图像，因为我相信必须有另一种方法解决这个问题我只是希望 /tomcat/webapps 可以由 runAsUser 写入，而不是根。

最好的方法是什么？

Answer 1

修复该问题的简单方法是通过initContainer:，尽管fsGroup: 是修复该问题的更具声明性的方法，只要您的集群的安全策略允许设置该字段

spec:
  initContainers:
  - name: chown
    image: docker.io/library/busybox:latest
    command:
    - chown
    - -R
    - whatever-the-uid-is-for-your-tomcat-image
    - /usr/local/tomcat/webapps/ROOT
    volumeMounts:
    - mountPath: /usr/local/tomcat/webapps/ROOT
      name: tomcat
  containers:
  # ... as before

Answer 2

如果您还没有，只需为您的映像创建一个 Dockerfile 并在其中添加以下行：

...

ENV USER=<YOUR-CONTAINER-USER>
ENV UID=10014
ENV GID=10014
RUN addgroup "$USER" --gid "$GID" \
    && adduser \
    --disabled-password \
    --gecos "" \
    --home "$(pwd)" \
    --ingroup "$USER" \
    --no-create-home \
    --uid "$UID" \
    "$USER"
RUN chown -R "$USER":"$USER" /usr/local/tomcat/webapps/ROOT

USER "$USER"

...

Answer 3

我建议在 Docker 级别解决这个问题，因为无论如何您很可能必须为您的应用程序创建一个子映像。这种方法的优点是您可以在部署到 K8s 之前进行测试。此外，您可以生成更高质量的图像，而不是需要“调整”以进行保存部署的图像。

使用 Docker 执行此操作如下所示：

FROM tomcat
RUN addgroup --system -gid 1000 app && adduser --system -uid 1000 -gid 1000 app
RUN chown -R app /usr/local/tomcat/
USER app
COPY --chown=1000:root your-war /usr/local/tomcat/webapps

任何基于 K8s 的解决方案，例如使用卷覆盖 webapp 文件夹并为该卷分配非 root 权限，都会遇到难以将 WAR 复制到 webapp 文件夹的问题。虽然理论上可以使用带有 init-containers 的复杂装置，但它们很脆弱且过于复杂（对于初学者，您必须确保 init 容器和主容器中的用户和组相同。此外，您的 WAR 需要在 init 容器中） .