如何配置Kubernetes Pod容器，避免共享卷的SELinux重标记？

问题根源 #

kubelet默认会对emptyDir卷执行SELinux标签重标记（relabel）操作，当卷内包含FUSE文件系统时，递归遍历FUSE目录会因为文件动态生成或不存在而报错，同时耗时过长。

解决方案 #

方法一：统一设置Pod/容器的SELinux级别 #

通过为Pod和所有容器指定相同的SELinux MCS级别，让emptyDir卷的标签与容器的SELinux上下文自动匹配，kubelet就会跳过relabel操作。

具体配置修改如下：

1. 在Pod的spec下添加全局securityContext，指定SELinux级别
2. 确保Sidecar和主容器的securityContext继承或设置相同的级别

修改后的Pod示例：

apiVersion: v1
kind: Pod
metadata:
  labels:
    app: <app>
spec:
  # 全局SELinux配置，所有容器默认继承
  securityContext:
    seLinuxOptions:
      level: "s0:c123,c456" # 任意合法的MCS级别，格式为s0:cXX,cYY
  volumes:
  - name: workspace
    emptyDir:
      sizeLimit: 500Mi

  initContainers:
  - name: sidecar
    image: <sidecar image mounts a FUSE filesystem at /workspace/src>
    restartPolicy: Always
    volumeMounts:
    - mountPath: /workspace
      name: workspace
      mountPropagation: Bidirectional
    securityContext:
      privileged: true
      capabilities:
        add: ["CAP_SYS_ADMIN"]  # for fuse
      # 显式指定与全局一致的级别，确保匹配
      seLinuxOptions:
        level: "s0:c123,c456"

  containers:
  - name: main
    image: <main image reads and writes to /workspace/src>
    workingDir: /workspace/src
    volumeMounts:
    - mountPath: /workspace
      name: workspace
      mountPropagation: HostToContainer
    securityContext:
      # 显式指定与全局一致的级别
      seLinuxOptions:
        level: "s0:c123,c456"

说明：

• MCS级别（如s0:c123,c456）可以是任意未被占用的组合，只要Pod内所有容器和卷使用同一级别即可
• 配置后，kubelet会为emptyDir卷打上对应级别的SELinux标签，容器的SELinux上下文也使用该级别，因此无需执行relabel

方法二：挂载FUSE时指定SELinux上下文 #

如果无法修改Pod的全局SELinux配置，可以在Sidecar挂载FUSE文件系统时，通过context挂载选项指定与主容器匹配的SELinux标签，避免kubelet触发relabel。

假设主容器的SELinux上下文为system_u:system_r:container_t:s0:c123,c456，则Sidecar的挂载命令需要添加-o context=system_u:object_r:container_file_t:s0:c123,c456参数：

mount -t fuse <fuse-device> /workspace/src -o context=system_u:object_r:container_file_t:s0:c123,c456

说明：

• 该方法需要修改Sidecar镜像内的挂载逻辑，确保FUSE文件系统的标签与主容器的SELinux上下文一致
• 挂载后，FUSE目录的SELinux标签已符合要求，kubelet不会进行递归relabel

总结 #

• 优先选择方法一，配置简单且无需修改容器镜像
• 若受限于集群或镜像配置，可使用方法二调整FUSE挂载参数

内容的提问来源于stack exchange，提问作者Alex Flint