Manual rápido y completo de Dockerfile:guia_rapida_de_dockerfile
Manual rápido y completo de Docker (linea de comando):guia_rapida_de_la_linea_de_comandos_de_docker
Manual rápido y completo de Docker Swarm: guia_rapida_de_docker_swarm

En el ecosistema docker se usan volúmenes y bind mounts para guardar datos de forma que no sean eliminados cuando los contenedores finallicen. Los volúmenes pueden ser configurados para que usen un determinado propietario y este coincida con el del punto de montaje. Pero no así los antiguos bind mounts, los cuales montan carpeta del host anfitrión y deberían usarse solo cuando son 100% necesarios, en resumen, cuando se debe acceder a determinado directorio del host anfitrión. Con los bind mounts siempre es necesario que el usuario del contenedor sea compatible con la configuración de la carpeta del host que se quiere montar. En la actualidad solo deberían ser usados para visualizar determinados directorios del host anfitrión, para todo lo demás siempre es mejor usar volúmenes.

Cuando no se usan contenedores que utilizan root para ejecutar el proceso y se quiere hacer uso de “bind mounts” o volúmenes, es común que empiecen los problemas de acceso si no se ha configurado correctamente el tema permisos. La linea de comandos de Docker, Docker-compose o cualquier otra aplicación que implemente bind mounts, no permite configurar sus permisos / propietario. Por lo que hay que apoyarse siempre en algo externo para poder configurar los puntos de montaje como se quiera. Se presentan en esta pequeña guía algunas posibilidades para adaptar el usuario del contenedor al del bind mount.

Ejemplo de montaje de volúmenes y bind mounts (directorios del host anfitrión) desde la linea de comandos usando la sintaxis “mount”.

# Se monta el volumen con el mismo UID y GID del usuario que ejecutó el comando.
docker run --mount source=volumen1,destination=/opt/volumen1 -it -u $UID:$UID alpine sh 
 
# Los bind mounts no permiten configurar el UID/GID y se montará en el contenedor con el UID/GID del anfitrión, exista o no en el contenedor.
docker run -it --mount type=bind,src=/root/,dst=/root -w /root/ alpine sh
# Siempre se puede arranca el contenedor indicando el usuario compatible con el directorio del host (bind mount) a montar.
docker run --user antonio -it --mount type=bind,src=/hme/antonio/,dst=/home/antonio -w /home/antonio/ alpine sh

Cuando se trata de volúmenes, desde la linea de comandos es simple especificar un usuario y grupo como ya vimos (Leer guía rápida de docker.), pero también sería posible hacerlo desde el Dockerfile como veremos a continuación, siendo esta la opción más recomendada al usar docker-compose.

Montar volúmenes (no bind mounts) a partir de un fichero Dockerfile

Al margen de la linea de comandos, este es posiblemente el mejor método de configurar un punto de montaje dentro del contenedor con los permisos deseados cuando se usan aplicaciones estilo docker-compose. El proceso se basa en crear una imagen mediante un fichero Dockerfile donde se define el usuario y los permisos del directorio que monta el volumen. Una vez se monte el volumen, ya sea desde la linea de comandos o docker-compose, el punto de montaje en el contenedor heredará los permisos y propietario definidos previamente en la imagen. No es necesario que el usuario exista en el host, puede perfectamente solo existir en el contenedor.

En el ejemplo se crea una imagen docker llamada “alpine_volumen” que usará un usuario no privilegiado “testuser”.

ARG USR=testuser
FROM alpine
RUN addgroup -S $USR && adduser -S $USR -G $USR           # Se crea el usuario y el grupo para luego aplicarlo al punto de montaje del volumen.
RUN mkdir /VOL_testuser && chown $USR:$USR /VOL_testuser  # Se crea el directorio donde será montado el volumen y su propietario
VOLUME /VOL_testuser                                      # Se hace una referencia al volumen que será montado desde linea de comando o docker-compose.
USER $USR                                                 # Usuario del proceso.

Montar el volumen desde docker-compose, el volumen se crea automáticamente si no existe. El contenedor creado solo ejecutará una shell.

version: "3"
services:
  web:
    image: alpine_volumen  # Imagen creada a partir del Dockerfile mostrado anteriormente.
    stdin_open: true # docker run -i
    tty: true        # docker run -t
    command: /bin/sh
    volumes:
      - XXXX:/VOL_testuser  # El volumen será montado como el usuario testuser.
volumes:
    XXXX:

También se puede montar el volumen desde la linea de comando (se creará el volumen XXXX si no existe).

docker run --rm -it -v XXXX:/VOL_testuser alpine_volumen

Montar directorios (bind mount) conociendo el usuario del contenedor y aplicándolo al directorio host

Obtener el id del usuario que corre en el contenedor.

# docker
docker exec XXXX id
uid=100(testuser) gid=101(testuser) groups=101(testuser)
 
# docker-compose
docker-compose ps --services
web
docker-compose exec web id
uid=100(testuser) gid=101(testuser) groups=101(testuser)

Una vez se conoce el usuario y grupo, se puede usar en el host el comando chown y chmod. Por supuesto el usuario debe existir en el host.

Montar directorios (bind mount) conociendo el usuario del directorio del host y aplicándolo al contenedor

Se crea un fichero .env con el usuario y grupo del directorio se sabe se va a montar en el contenedor.

UID=100
GID=101

En el fichero de docker-compose se define el usuario y grupo que debe correr el proceso para que sea compatible con el directorio montado

version: "3"
services:
  web:
    image: alpine_volumen
    user: "${UID}:${GID}"
    stdin_open: true # docker run -i
    tty: true        # docker run -t
    command: /bin/sh
    volumes:
      - /home/XXXX:/DIR_testuser

Aplicar la configuración de propietario y permisos en el ENTRYPOINT

Se aplica la configuración dentro del ENTRYPOINT. Normalmente se usará un script, pero para el ejemplo se ha usado un comando y una shell como proceso final.

version: "3"
services:
  web:
    image: alpine
    stdin_open: true # docker run -i
    tty: true        # docker run -t
    container_name: test
    volumes:
      - /home/XXXX:/DIR_testuser
    entrypoint: /bin/sh -c "adduser -D testuser && chown -Rv testuser:testuser /DIR_testuser && sh"