如何在OpenShift Deployment中添加ConfigMap且规避父目录权限拒绝问题

你遇到的问题根源在于emptyDir挂载覆盖了容器镜像中原有的/workspace/project目录结构，同时挂载后的目录权限与应用运行用户不匹配：

• 挂载emptyDir到/workspace/project/会完全替换掉镜像里的这个目录，原本的src/main/api等子目录都不存在了，应用尝试写入时自然会报错；
• 即使手动创建目录，emptyDir默认的文件权限可能不允许应用进程（通常以非root用户运行）写入。

方案一：调整emptyDir挂载路径（推荐） #

不要直接挂载emptyDir到项目根目录，而是只挂载到实际需要写入的子目录，保留镜像中原有的目录结构：

volumes:
- name: empty-vol
  emptyDir: {}
- name: cics-config-volume
  configMap:
    name: cics-conf

volumeMounts:
- name: cics-config-volume
  mountPath: /workspace/project/src/main/liberty/config/
- name: empty-vol
  mountPath: /workspace/project/src/main/api/ # 只挂载到需要写入的目录

这样应用可以直接向/workspace/project/src/main/api写入文件，同时其他目录保留镜像中的原始内容和权限。

方案二：修复emptyDir的目录结构与权限（必须挂载根目录时使用） #

如果业务需求必须挂载emptyDir到/workspace/project/，可以通过initContainer提前创建所需子目录并配置正确权限：

1. 添加initContainer准备目录 #

在Deployment中新增initContainer，以root权限创建缺失的子目录并设置权限：

initContainers:
- name: prepare-project-dir
  image: busybox:latest
  command:
    - sh
    - -c
    - |
      mkdir -p /workspace/project/src/main/api /workspace/project/src/main/liberty/config
      chmod -R 755 /workspace/project
      chown -R 1001:1001 /workspace/project # 1001为OpenShift默认受限用户ID，根据你的应用实际用户调整
  volumeMounts:
  - name: empty-vol
    mountPath: /workspace/project/
  securityContext:
    runAsUser: 0 # 允许initContainer以root运行

2. （可选）设置emptyDir默认权限 #

可以直接给emptyDir配置更宽松的默认权限（适合测试环境，生产环境建议用initContainer的权限设置）：

volumes:
- name: empty-vol
  emptyDir: {}
  defaultMode: 0777 # 开放所有读写执行权限
- name: cics-config-volume
  configMap:
    name: cics-conf

内容的提问来源于stack exchange，提问作者adev