Docker-php项目在Google CloudRun上的权限问题解决方案

问题背景

在使用serversideup/docker-php项目的8.2-fpm-nginx-v3.0.1镜像部署到Google CloudRun环境时，用户遇到了容器启动失败的问题。错误信息显示与S6 overlay和权限相关，具体表现为无法获取root权限和无法创建/run目录下的文件。

错误现象分析

在CloudRun环境中启动容器时，主要出现两类错误：

1. 标准模式下：

s6-overlay-suexec: fatal: child failed with exit code 111
s6-rmrf: fatal: unable to remove /run/s6: Permission denied
s6-overlay-suexec: warning: unable to gain root privileges (is the suid bit set?)

2. 启用S6_READ_ONLY_ROOT=1标志时：

s6-overlay-suexec: warning: unable to gain root privileges (is the suid bit set?)
/package/admin/s6-overlay/libexec/preinit: info: read-only root
/package/admin/s6-overlay-3.1.6.2/libexec/preinit: 31: cannot create /run/test of writability: Permission denied
s6-overlay-suexec: fatal: child failed with exit code 2

问题根源

经过分析，这个问题主要由以下几个因素共同导致：

1. S6 Overlay的限制：S6 Overlay需要root权限来执行某些操作，特别是涉及系统目录的创建和修改。

2. CloudRun的安全限制：Google CloudRun环境默认采用更严格的安全策略，包括限制容器获取root权限的能力。

3. Docker的no-new-privileges设置：在某些环境中，Docker默认启用了no-new-privileges安全选项，这会阻止SUID/SGID位生效。

解决方案

方案一：使用root用户运行容器（推荐）

对于CloudRun环境，最简单的解决方案是让容器以root用户运行，同时确保PHP-FPM进程以www-data用户运行。可以通过以下Dockerfile配置实现：

FROM serversideup/php:8.3-fpm-nginx as base
USER root

# 配置PHP-FPM以www-data用户运行
RUN echo "user = www-data" >> /usr/local/etc/php-fpm.d/docker-php-serversideup-pool.conf && \
    echo "group = www-data" >> /usr/local/etc/php-fpm.d/docker-php-serversideup-pool.conf

这种方法虽然不完全符合rootless容器的理念，但在CloudRun环境下是最可靠的解决方案。

方案二：禁用no-new-privileges（适用于自托管环境）

对于自托管的Docker环境，可以通过禁用no-new-privileges安全选项来解决：

docker run --security-opt="no-new-privileges=false" your-image

但需要注意的是，这种方法会降低容器的安全性，不推荐在生产环境中使用。

方案三：使用Unit替代FPM+Nginx

serversideup/docker-php项目提供了基于Unit的镜像变体，它不依赖S6 Overlay，可能在CloudRun环境下有更好的兼容性。可以考虑评估是否可以使用Unit替代传统的FPM+Nginx组合。

技术原理深入

S6 Overlay是一个轻量级的进程管理工具，常用于Docker容器中管理多个进程。它需要一定的权限来：

1. 创建和管理/run目录下的临时文件
2. 设置进程的UID/GID
3. 管理服务生命周期

在传统的Docker环境中，这些操作通常需要root权限或SUID位设置。而CloudRun等托管容器服务出于安全考虑，会限制这些权限操作，导致S6 Overlay无法正常工作。

最佳实践建议

1. 对于CloudRun等托管容器服务，优先考虑使用root用户运行容器，但确保应用进程以非特权用户运行。

2. 定期更新到最新版本的serversideup/docker-php镜像，以获取最新的安全修复和兼容性改进。

3. 在可能的情况下，考虑使用更简单的进程管理方案，如直接运行单个进程，避免使用S6 Overlay等复杂工具。

4. 对于安全性要求极高的场景，可以评估使用基于Unit的镜像变体，它提供了更好的rootless容器支持。

通过以上解决方案，用户应该能够在Google CloudRun环境中成功部署基于serversideup/docker-php项目的应用。