• Ошибка EACCES: permission denied, open '/app/data/...' внутри контейнера.
• Файлы, созданные контейнером, принадлежат пользователю root на хосте.
• Блокировка монтирования каталогов политиками безопасности SELinux.

1. Запуск контейнера с UID и GID текущего пользователя хоста

docker run -d \
  --name app \
  --user $(id -u):$(id -g) \
  -v /opt/data:/app/data \
  my_image:latest

2. Решение проблем с блокировками SELinux (флаги :z и :Z)

# Флаг :z — разрешает совместный доступ нескольких контейнеров к папке хоста
docker run -v /data/shared:/app/data:z my_image

# Флаг :Z — назначает приватный неразделяемый контекст контейнера
docker run -v /data/private:/app/data:Z my_image

3. Использование entrypoint-скрипта с утилитой gosu (Drop Privileges)

Создайте entrypoint.sh для динамической смены владельца тома:

#!/bin/sh
USER_ID=${LOCAL_UID:-9001}
GROUP_ID=${LOCAL_GID:-9001}

# Создаем пользователя с динамическим UID хоста
groupadd -g $GROUP_ID appgroup 2>/dev/null || true
useradd -u $USER_ID -g $GROUP_ID -s /bin/sh appuser 2>/dev/null || true

chown -R $USER_ID:$GROUP_ID /app/data
exec gosu appuser "$@"

4. Исправление прав на хосте

chown -R 1000:1000 /opt/data && chmod -R 775 /opt/data