Microsoft MVP성태의 닷넷 이야기
글쓴 사람
정성태 (seongtaejeong at gmail.com)
홈페이지
첨부 파일
 

docker 컨테이너로 매핑된 볼륨에 컨테이너 측의 사용자 ID를 유지하면서 복사하는 방법

docker 컨테이너 실행 시 -v로 연결한 볼륨에 파일을 복사하고 싶다면, 1) 호스트 측의 매핑된 디렉터리를 선택하거나, 2) (ssh가 컨테이너 내부에 중첩 설치되었다면) docker에 매핑된 디렉터리를 선택해 복사할 수 있습니다. (물론, 대개의 경우에는 편의상 1번 방법을 선택할 것입니다. ^^)

일반적으로 docker 호스팅 서버에는 /var/lib/docker/volumes 디렉터리에 컨테이너의 볼륨들이 매핑되는데요, 따라서 예를 들어 "docker run ... -v test:/app/test"라고 실행했다면 호스트 측에 /var/lib/docker/volumes/test 디렉터리가 놓이게 됩니다. 즉, 그 디렉터리로 복사하면 컨테이너 내에서도 /app/test 경로를 이용해 그 파일을 사용할 수 있게 됩니다.

그런데, 이게 사용자 권한과 묶이면 좀 복잡해집니다.

일례로, docker를 호스팅하는 서버로 Microsoft SQL Server의 데이터베이스 파일을 복사했는데요,

// 192.168.100.50: docker 호스팅 서버
// /var/lib/docker 디렉터리는 root 계정만 접근 가능

scp mydb.mdf root@192.168.100.50:/var/lib/docker/volumes/test/_data/data

저걸 SQL Server가 실행된 컨테이너 내에서 attach하려고 시도했더니 권한 오류가 발생합니다. 원인 파악을 해보니,

$ sudo ls -l /var/lib/docker/volumes/mssql/_data/data/
total 901616
-rw-r----- 1 10001 root       256 Mar  9  2020 Entropy.bin
-rw-r----- 1 root  root  15990784 Aug 11 14:40 nopcommerce316.mdf

제가 복사한 파일은 (ssh 연결 시 사용한 계정인) "root"로 돼 있고 다른 파일은 "10001"이라는 사용자로 돼 있습니다. 여기서 "10001"은 docker 컨테이너 내부의 사용자 ID인데요, 가령 docker exec로 접속해 id 명령을 내렸을 때의 uid 값에 해당합니다.

mssql@7a4e381478b0:/$ id
uid=10001(mssql) gid=0(root) groups=0(root)

리눅스의 경우, ls -l 명령어로 대상 디렉터리를 열거할 때 cgroup이 달라지는 경우라면 (사용자 이름이 아닌) 사용자 ID를 출력 결과로 보여주는 특징이 있습니다.

결국, root 계정만 "-rw-r-----" 권한이 있기 때문에 컨테이너 내부의 SQL Server 프로세스는 저 파일을 접근할 수 없게 된 것입니다.




(리알못이라) 아직 잘은 모르겠지만, 딱히 cgroup이 다른 저 파일의 권한을 바꿀 방법은 없는 것 같습니다. 즉, 위의 경우 현재 "root" 계정에서 "10001" 사용자에 해당하는 컨테이너 내부의 mssql 사용자로 권한을 바꾸는 명령어가 없습니다. 물론, other에 대해 rw 권한을 주는 방법도 있지만 기왕이면 자연스럽게 계정 정보가 연동되는 것이 좋을 것 같아 다른 방법을 찾아봤습니다.

제가 찾은 방법은, 일단 해당 파일을 docker cp를 이용해 컨테이너 내부에 복사하는 것으로 시작했습니다. 여기서 또 하나 재미있는 것은, 그냥 곧바로 대상 파일을 복사하면,

$ docker ps | grep mssql
7a4e381478b0   mcr.microsoft.com/mssql/server:2019-GA-ubuntu-16.04   "/opt/mssql/bin/perm…"   5 years ago     Up 5 days     0.0.0.0:1433->1433/tcp, :::1433->1433/tcp                                                                                                                                     

$ docker cp /tmp/nopcommerce316.mdf 7a4e381478b0:/var/opt/mssql/data

현재 로그인한 사용자 계정으로 복사가 됩니다. 예를 들어, 위의 명령어를 실행했던 ssh 세션의 계정이 "testusr"라면, 복사한 파일도 "testusr" 사용자 권한으로 나옵니다.

// docker 호스트 측에서 확인한 권한

$ sudo ls -l /var/lib/docker/volumes/mssql/_data/data/
total 884784
...[생략]...
-rw-rw-r-- 1 testusr  testusr  15990784 Aug 11 14:39 nopcommerce316.mdf
-rw-r----- 1 10001    root     8388608  Aug  6 14:04 tempdb2.ndf

// 컨테이너 내부에서 확인한 권한 (호스트 측 testusr 사용자의 uid 값이 1000인 경우)

$ ls -l /app/test
-rw-rw-r-- 1  1000 1000  15990784 Aug 11 05:39 nopcommerce316.mdf
-rw-r----- 1 mssql root   8388608 Aug  6 05:04 tempdb.mdf

원했던 결과가 아닌데요, 그래서 이거저거 하다 보니 우회 방법을 알게 되었습니다. 가령, 두 번 복사를 하는 식으로 하면 원하는 권한 설정이 되었는데요, 예를 들어, 우선 컨테이너 내부에 복사를 하는 것은 맞는데 대상 디렉터리가 아닌 다른 디렉터리에 복사하는 것입니다.

// 대상 컨테이너의 임시 디렉터리로 복사

$ docker cp /tmp/nopcommerce316.mdf 7a4e381478b0:/var
Successfully copied 16MB to 7a4e381478b0:/var

그다음, 컨테이너 내부의 shell 환경에서 원래 복사하려고 했던 디렉터리로 재차 복사를 합니다.

// 컨테이너 내부에서 복사 명령어 실행

$ cd /app/test
$ cp /var/nopcommerce316.mdf  .

그럼 호스트 측에서도,

$ sudo ls -l /var/lib/docker/volumes/mssql/_data/data/
total 950320
...[생략]...
-rw-r--r-- 1 10001 root  15990784 Aug 11 15:09 nopcommerce316.mdf
-rw-r----- 1 10001 root   8388608 Aug  6 14:04 tempdb2.ndf
...[생략]...

컨테이너 내부에서도,

// 컨테이너 호스트 측에서 확인

$ ls -l
total 884784
...[생략]...
-rw-r--r-- 1 mssql root  15990784 Aug 11 06:09 nopcommerce316.mdf
-rw-r----- 1 mssql root   8388608 Aug  6 05:04 tempdb.mdf
...[생략]...

다른 파일들과 동일하게 사용자 권한이 나옵니다.




[이 글에 대해서 여러분들과 의견을 공유하고 싶습니다. 틀리거나 미흡한 부분 또는 의문 사항이 있으시면 언제든 댓글 남겨주십시오.]







[최초 등록일: ]
[최종 수정일: 8/14/2025]

Creative Commons License
이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-비영리-변경금지 2.0 대한민국 라이센스에 따라 이용하실 수 있습니다.
by SeongTae Jeong, mailto:techsharer at outlook.com

비밀번호

댓글 작성자
 




... 166  167  168  [169]  170  171  172  173  174  175  176  177  178  179  180  ...
NoWriterDateCnt.TitleFile(s)
895정성태7/25/201023460VS.NET IDE: 68. Visual Studio 2010 - .NET 1.1 원격 디버깅
894정성태7/25/201029476오류 유형: 100. Could not find the Database Engine startup handle. [1]
893정성태7/25/201030482오류 유형: 99. .NET 4.0 설치된 윈도우 7에서 SQL Server 2008 R2 설치 오류
892정성태7/9/201031768오류 유형: 98. 영문 윈도우에 한글 SQL Server 2008 R2 설치할 때 오류 [4]
891정성태7/8/201027969오류 유형: 97. MsiGetProductInfo failed to retrieve ProductVersion for package with Product Code = '{...}'. Error code: 1605. [2]
889정성태7/5/201029848.NET Framework: 179. Dictionary.Get(A) 대신 Dictionary.Get(A.GetHashCode())를 사용해서는 안 되는 이유 [1]
888정성태6/30/201027409오류 유형: 96. Hyper-V 연결 오류 - A connection will not be made because credentials may not be sent to the remote computer
887정성태6/23/201037409개발 환경 구성: 79. Hyper-V의 가상 머신에서 소리 재생 방법 [2]
886정성태6/23/201025204제니퍼 .NET: 14. ASMX, WCF 호출 모니터링 및 누수 확인
885정성태6/20/201027209개발 환경 구성: 78. COM+ 서버에서 COM+ 서버를 호출하는 방법
884정성태6/20/201029873제니퍼 .NET: 13. COM+ 서버 모니터링 [2]
883정성태6/18/201032086개발 환경 구성: 77. Appinit_Dlls로 구현한 환경 변수 설정 DLL [5]파일 다운로드1
882정성태6/17/201034902개발 환경 구성: 76. JKS(Java Key Store)에 저장된 인증서를 ActiveX 코드 서명에 사용하는 방법 [1]
881정성태6/14/201024012제니퍼 .NET: 12. COM+ 호출 모니터링 및 누수 확인
879정성태6/10/201026803제니퍼 .NET: 11. 소켓 모니터링 기능으로 본 ASP.NET의 소켓 풀링 기능 [1]
878정성태6/6/201026635제니퍼 .NET: 10. 소켓 모니터링 기능으로 본 WCF의 WSDualHttpBinding 성능 부하
877정성태5/31/201023108제니퍼 .NET: 9. 성능 관리 퀴즈 세 번째 문제 (닷넷 개발자 컨퍼런스)
876정성태5/31/201022580제니퍼 .NET: 8. 성능 관리 퀴즈 두 번째 문제 (닷넷 개발자 컨퍼런스) [2]
875정성태5/30/201024393제니퍼 .NET: 7. 성능 관리 퀴즈 첫 번째 문제 (닷넷 개발자 컨퍼런스)
873정성태5/19/201031293제니퍼 .NET: 6. 제니퍼를 위한 방화벽 설정
872정성태5/15/201030689제니퍼 .NET: 5. 제니퍼 서버 - NT 서비스로 구동시키는 방법
871정성태5/13/201037245VC++: 40. MSBuild를 이용한 VC++ 프로젝트 빌드파일 다운로드1
870정성태5/12/201028673제니퍼 .NET: 4. 닷넷 APM 솔루션 - 제니퍼 닷넷의 기능 요약 [2]
869정성태11/8/201930037오류 유형 : 95. WCF 인증서 설정 관련 오류 정리 [4]
865정성태5/5/201032342개발 환경 구성: 75. 인증서의 개인키를 담은 물리 파일 위치 알아내는 방법파일 다운로드1
864정성태5/4/201036178.NET Framework: 178. WCF - 사용자 정의 인증 구현 예제 [4]파일 다운로드1
... 166  167  168  [169]  170  171  172  173  174  175  176  177  178  179  180  ...