关键是通过Linux目录级ACL的default条目让宿主机日志目录自动赋予新文件合规属组：需确认文件系统启用acl挂载选项，创建loggroup组并设置d:g:loggroup:rw和d:m:rw default ACL，容器须bind mount该目录、不加noacl、umask设为002，最后用sudo -u nobody touch测试验证属组和权限生效。
关键不是让容器进程改身份，而是让宿主机日志目录“自动赋予”新文件合规属组——靠 Linux 目录级 ACL 的 default 条目实现。
确认文件系统支持 ACL
default ACL 依赖底层文件系统启用 acl 挂载选项：
- 运行
mount | grep "$(df /var/log/myservice | tail -1 | awk '{print $1}')" | grep acl，检查输出是否含acl - 若无，临时启用：
sudo mount -o remount,acl /var/log - 永久生效：编辑
/etc/fstab，在对应挂载行的 options 字段追加,acl（如defaults,acl）
创建合规属组并设置 default ACL
属组是权限继承的锚点，ACL 规则需显式绑定到它：
- 新建组（如尚未存在）：
sudo groupadd loggroup - 为日志目录添加 default 条目：
sudo setfacl -m d:g:loggroup:rw /var/log/myservice - 同步设置 default mask，确保组权限实际生效：
sudo setfacl -m d:m:rw /var/log/myservice
确保容器写入行为匹配 ACL 机制
default ACL 只对后续新建文件/子目录生效，且不改变进程 GID。要让它起作用，容器需满足：
- 使用 bind mount 挂载宿主机日志目录（避免 volume 抽象层绕过 ACL）
- 挂载时未加
noacl等禁用选项 - 容器内进程 umask 设为
002或0002（保留组写位），Docker 可通过--umask=002启动参数指定
验证是否真正生效
别只看配置命令是否成功，要模拟容器行为验证结果：
- 在宿主机执行：
sudo -u nobody touch /var/log/myservice/test.log - 运行：
getfacl /var/log/myservice/test.log - 预期输出中应含
group:loggroup:rw-和mask::rw-，且ls -l显示属组为loggroup
