如何在Pod内不使用kubectl更新Kubernetes ConfigMap数据？

为什么挂载的ConfigMap卷无法写入？ #

Kubernetes中，将ConfigMap以卷形式挂载到Pod时，即便你设置了readOnly: false，实际挂载的文件系统依然是只读的。这是因为挂载的是ConfigMap的镜像副本（基于tmpfs的只读文件系统），而非直接映射到集群存储的可写源。ConfigMap本身是集群级别的资源，Pod内挂载的只是它的只读快照，所以直接修改挂载目录下的文件必然会触发只读文件系统错误。

不用kubectl在Pod内更新ConfigMap的可行方案 #

要在Pod内更新ConfigMap，必须通过Kubernetes API直接操作集群层面的ConfigMap资源，而非修改挂载的文件。以下是具体实现步骤：

1. 为Pod的ServiceAccount配置权限
   首先要确保Pod使用的ServiceAccount拥有更新ConfigMap的权限。你需要创建对应的Role和RoleBinding（单命名空间场景）：

   # role.yaml
   apiVersion: rbac.authorization.k8s.io/v1
   kind: Role
   metadata:
     namespace: your-namespace
     name: configmap-updater
   rules:
   - apiGroups: [""]
     resources: ["configmaps"]
     verbs: ["get", "patch", "update"]
   
   # rolebinding.yaml
   apiVersion: rbac.authorization.k8s.io/v1
   kind: RoleBinding
   metadata:
     namespace: your-namespace
     name: bind-configmap-updater
   subjects:
   - kind: ServiceAccount
     name: your-pod-serviceaccount
     namespace: your-namespace
   roleRef:
     kind: Role
     name: configmap-updater
     apiGroup: rbac.authorization.k8s.io
   

   应用上述配置后，Pod的ServiceAccount就具备了读取和更新指定命名空间内ConfigMap的权限。

2. 在Pod内安装Kubernetes Python客户端
   在你的Python运行环境中安装官方K8s客户端库：

   pip install kubernetes
   

3. 编写Python代码调用K8s API更新ConfigMap
   利用Pod内自动注入的ServiceAccount凭证（无需手动配置），直接调用API修改ConfigMap：

   from kubernetes import client, config
   
   # 加载Pod内部的K8s集群配置（自动读取token和CA证书）
   config.load_incluster_config()
   
   # 初始化CoreV1 API客户端
   v1_api = client.CoreV1Api()
   
   # 替换为你的ConfigMap所在命名空间和名称
   target_namespace = "your-namespace"
   target_configmap = "your-configmap-name"
   
   # 获取当前ConfigMap的内容
   current_configmap = v1_api.read_namespaced_config_map(
       name=target_configmap,
       namespace=target_namespace
   )
   
   # 更新指定键的值
   current_configmap.data["etdFile"] = "new-content-for-etdfile"
   current_configmap.data["currRecCount"] = "999"
   
   # 提交更新（使用patch比replace更高效，仅修改变化的字段）
   v1_api.patch_namespaced_config_map(
       name=target_configmap,
       namespace=target_namespace,
       body=current_configmap
   )
   

额外说明 #

• ConfigMap更新后，Pod内挂载的卷会在几秒内自动同步更新内容，无需重启Pod。
• 如果需要频繁更新，建议使用patch操作而非replace，减少API请求的数据量。

内容的提问来源于stack exchange，提问作者Abhik NASKAR