使用gcsfuse无法将Bucket挂载至Cloud Run服务

针对你遇到的Cloud Run挂载GCS Bucket后容器无法启动的问题，以下是几个直接的排查和解决方向：

1. 检查挂载目录的权限与存在性 #

你的容器运行在nobody用户下，而挂载路径/mnt/stores/bkt1在chainguard/static基础镜像中可能不存在，或者nobody用户没有权限访问该路径。

解决方法：在Dockerfile的最后阶段添加目录创建和权限设置：

FROM cgr.dev/chainguard/static:latest

# 复制证书和应用
COPY --from=build /etc/ssl/certs/ca-certificates.crt /etc/ssl/certs/
COPY --from=build /work/app /app

# 创建挂载目录并设置权限
RUN mkdir -p /mnt/stores/bkt1 && chown nobody:nobody /mnt/stores/bkt1

USER nobody
EXPOSE 8080
ENV GIN_MODE=release
CMD ["/app"]

重新构建并部署镜像后再尝试挂载操作。

2. 验证服务账号的GCS权限 #

Cloud Run服务使用的默认服务账号需要具备访问目标GCS Bucket的权限，否则挂载会失败。

解决方法：

• 找到Cloud Run服务使用的服务账号（可在Cloud Run控制台的"权限"标签页查看）
• 为该服务账号添加Storage Object Viewer或Storage Admin角色：

gcloud projects add-iam-policy-binding <你的项目ID> \
  --member=serviceAccount:<服务账号邮箱> \
  --role=roles/storage.objectViewer

3. 调整挂载选项添加allow_other #

由于容器以nobody用户运行，默认情况下gcsfuse挂载的目录可能不允许非root用户访问，添加allow_other选项可以解决这个问题。

修改后的更新命令：

gcloud beta run services update <my-service> \
  --add-volume name=test-volume,type=cloud-storage,bucket=<my-bucket>,mount-options="log-severity=trace,allow_other" \
  --add-volume-mount volume=test-volume,mount-path=/mnt/stores/bkt1

4. 确认Bucket与服务的区域兼容性 #

虽然Cloud Run支持跨区域挂载GCS Bucket，但部分情况下区域不匹配可能导致挂载失败。建议确保Bucket的存储区域与Cloud Run服务部署的区域一致或邻近。

内容的提问来源于stack exchange，提问作者TechnoWise