在GKE Autopilot上用GCSFuse部署MySQL：/var/lib/mysql权限被拒

问题1：为何MySQL仍认为目录只读？ #

GCSFuse 是基于对象存储的文件系统，不支持Unix文件权限（chown/chmod操作无效）——GCS本身没有Unix权限模型，你配置的fix-permissions init容器执行的权限修改操作实际上不会改变GCS桶内对象的访问权限，MySQL进程依然无法写入。此外还可能存在以下原因：

• GCSFuse 默认挂载时的文件/目录模式未适配MySQL用户（999:999）的读写需求
• GCSFuse sidecar 因挂载参数错误，实际以只读模式挂载了桶
• SubPath 配置导致挂载路径的权限映射异常

问题2：如何强制GCSFuse以read-write模式挂载？ #

在GKE Autopilot中，需通过PVC的参数配置GCSFuse挂载选项，确保以读写模式挂载并设置合适的文件权限：

1. 确保PVC使用gcsfuse-csi存储类
2. 在PVC的parameters中添加挂载参数，指定读写模式和全局可读写权限：

apiVersion: v1
kind: PersistentVolumeClaim
metadata:
  name: shared-storage-pvc
spec:
  accessModes:
    - ReadWriteMany
  storageClassName: gcsfuse-csi
  resources:
    requests:
      storage: 10Gi
  parameters:
    bucketName: "www_1"
    mountOptions: "rw,file-mode=0777,dir-mode=0777"

• rw：强制读写模式
• file-mode=0777/dir-mode=0777：统一设置所有文件/目录的权限，确保任何用户都能读写

问题3：MySQL与GCSFuse权限冲突的解决方法 #

方法1：移除无效的权限修复init容器 #

由于GCSFuse不支持chown/chmod操作，直接删除fix-permissions init容器，避免无效操作浪费资源。

方法2：调整MySQL容器的SecurityContext #

设置MySQL容器以root用户启动（注意安全风险），绕开用户权限限制：

containers:
  - name: mysql
    image: mysql:8.0
    securityContext:
      runAsUser: 0
      allowPrivilegeEscalation: true
    # 其他配置不变

方法3：排查GCSFuse Sidecar挂载日志 #

Pod启动失败时，查看gcsfuse sidecar的日志，确认挂载是否成功：

kubectl logs <失败的Pod名称> -c gke-gcsfuse-sidecar

若日志出现权限错误，检查服务账号的GCS权限是否包含roles/storage.objectCreator和roles/storage.objectViewer（这两个是读写GCS的最小必要权限）。

方法4：优化MySQL启动参数 #

除已添加的参数外，补充适配GCSFuse特性的参数：

args:
  - "--skip-log-bin"
  - "--skip-ssl"
  - "--ssl=0"
  - "--innodb-flush-method=fsync"
  - "--innodb-use-native-aio=0"
  - "--lower-case-table-names=1"  # GCSFuse不区分文件名大小写

修改后的完整Deployment示例 #

apiVersion: apps/v1
kind: Deployment
metadata:
  name: api-mysql-deployment
  namespace: default
spec:
  replicas: 1
  selector:
    matchLabels:
      app: mysql
  template:
    metadata:
      labels:
        app: mysql
      annotations:
        gke-gcsfuse/volumes: "true"
    spec:
      serviceAccountName: spock
      containers:
        - name: mysql
          image: mysql:8.0
          securityContext:
            runAsUser: 0
            allowPrivilegeEscalation: true
          args:
            - "--skip-log-bin"
            - "--skip-ssl"
            - "--ssl=0"
            - "--innodb-flush-method=fsync"
            - "--innodb-use-native-aio=0"
            - "--lower-case-table-names=1"
          env:
            - name: MYSQL_ROOT_PASSWORD
              value: "password"
            - name: MYSQL_DATABASE
              value: "api"
            - name: MYSQL_USER
              value: "user"
            - name: MYSQL_PASSWORD
              value: "password"
          volumeMounts:
            - name: shared-storage
              mountPath: "/var/lib/mysql"
              subPath: "databases/api"
      volumes:
        - name: shared-storage
          persistentVolumeClaim:
            claimName: shared-storage-pvc

内容的提问来源于stack exchange，提问作者CommanderSpock