我正在创建 docker 映像，稍后将在具有严格设置的 Kubernetes 上使用：
出于测试目的，我可以在 docker-compose 配置中使用 read_only: true 模拟 1)。然后，我必须为具有写入活动的位置添加一些目录，例如 /run 和 /var。但是如果我尝试使用here 所示的 tmpfs，则该目录归 root 所有：
drwxr-xr-x 2 root root 40 Nov 27 11:05 /var
有没有秘密选项可以使它成为drwxrwxrwx？是否有替代方案（除了普通磁盘目录）？
跑步：
【问题讨论】：
标签： docker docker-compose
你可以指定一个tmpfs模式：
docker run -d \
-it \
--name tmptest \
--mount type=tmpfs,destination=/app,tmpfs-mode=1770 \
nginx:latest
https://docs.docker.com/storage/tmpfs/#specify-tmpfs-options
使用较旧的 2.x 撰写文件语法，您可以像这样指定它：
version: "2.4"
services:
my_app:
image: my_app
read_only: true
restart: always
tmpfs:
- /run:mode=770,size=1k,uid=200,gid=10000
https://github.com/docker/cli/issues/698#issuecomment-429688027
对于 3.x 语法，使用长格式卷定义，您需要关注这个问题：
【讨论】：
mode 参数似乎被忽略了，但 uid 一个有效，所以我可以让事情顺利进行。奇怪的是，我创建的两个 tmpfs 上的标志并不相同：drwxr-xr-x 代表 /var/httpd 和 drwxrwx--- 代表 /run/httpd。
exec gosu 以从 root 删除到用户.然后容器以用户身份有效运行，但并非每个安全团队都接受该选项。
mode= 今天早上工作，在我删除了 Dockerfile 中的 RUN chown ... 之后...