OKD中PostgreSQL配置RunAsUser时出现Peer认证失败问题

问题根源 #

Peer认证的核心逻辑是本地连接的操作系统用户名必须与PostgreSQL数据库用户名完全一致。你的容器以UID 10001运行，该UID对应的系统用户名并非postgres，因此PostgreSQL拒绝了连接请求。

解决选项 #

选项1：调整pg_hba.conf认证方式（若安全规则允许） #

将local postgres all peer修改为更灵活的密码认证方式，推荐使用安全性更高的scram-sha-256：

local  postgres    all scram-sha-256

修改后重启PostgreSQL服务，即可通过密码方式连接数据库，无需操作系统用户名匹配。

选项2：让容器以postgres用户运行 #

PostgreSQL官方镜像中，postgres用户的UID通常为999（可通过id postgres在容器内确认）。修改StatefulSet的securityContext，将运行用户切换为该UID：

spec:
    securityContext: 
        runAsUser: 999
        runAsGroup: 999
        fsGroup: 999
    serviceAccountName: ...
    containers:
    - name: db
      image: ....
      volumeMounts:
          - name: data
            mountPath: /var/lib/postgresql/data
      securityContext:
          seccompProfile: 
              type: RuntimeDefault
          runAsNonRoot: true

fsGroup会自动调整/var/lib/postgresql/data目录的权限，确保postgres用户能正常读写数据。

选项3：绑定UID 10001到postgres用户名（适配固定UID要求） #

若必须使用UID 10001，可在容器启动时创建postgres用户并绑定该UID：

1. 编写自定义启动脚本（如start-postgres.sh）：

#!/bin/bash
# 创建postgres用户并绑定UID 10001
useradd -u 10001 postgres
# 调整数据目录权限
chown -R postgres:postgres /var/lib/postgresql/data
# 切换到postgres用户启动服务
su postgres -c "postgres -D /var/lib/postgresql/data"

2. 修改StatefulSet的容器启动命令，指向该脚本：

containers:
- name: db
  image: ....
  command: ["/path/to/start-postgres.sh"]
  # 其他配置不变

验证步骤 #

• 进入容器执行id，确认当前用户的UID和用户名是否与PostgreSQL用户匹配；
• 执行psql -U postgres测试本地连接，或查看PostgreSQL日志（通常在/var/log/postgresql目录）确认认证规则是否生效。

内容的提问来源于stack exchange，提问作者xxestter