Kubernetes StatefulSet部署MongoDB：Keyfile挂载权限与所有者配置问题

核心问题分析 #

你遇到的问题是：ConfigMap挂载的文件默认所有者为root，且挂载后文件系统只读，无法直接修改权限；fsGroup仅能修改文件组所有权，无法变更所有者，导致mongodb用户（UID/GID 999）无法读取权限为0400的密钥文件。

可行解决方案 #

方案1：用emptyDir中转+Init容器修正权限 #

通过Init容器将只读的ConfigMap/Secret文件复制到可写的emptyDir，修改所有者和权限后，主容器挂载emptyDir即可读取。

修改后的StatefulSet关键配置片段

spec:
  securityContext:
    runAsUser: 999
    runAsGroup: 999
    fsGroup: 999
  terminationGracePeriodSeconds: 15
  volumes:
    # 原密钥源（建议换成Secret，下文说明）
    - name: mongodbkey-source
      configMap:
        name: mongodb-key
        defaultMode: 0400
    # 新增emptyDir用于中转密钥文件
    - name: mongodbkey
      emptyDir: {}
    - name: mongodb-init
      configMap:
        name: mongodb-init
        defaultMode: 0777
  # 新增Init容器处理权限
  initContainers:
    - name: fix-key-perms
      image: busybox:1.36
      command:
        - /bin/sh
        - -c
        - |
          # 复制密钥到emptyDir
          cp /mnt/source/mongodb.key /mnt/target/mongodb.key
          # 修改所有者为mongodb用户
          chown 999:999 /mnt/target/mongodb.key
          # 设置严格的只读权限
          chmod 0400 /mnt/target/mongodb.key
      volumeMounts:
        - name: mongodbkey-source
          mountPath: /mnt/source
        - name: mongodbkey
          mountPath: /mnt/target
  containers:
    - name: mongod
      image: mongo:7.0.2
      command:
        - /bin/sh
        - -c
        - |
          /data/mongodbinit/mongo-user.sh &
          # 注意：原命令里的--keyFile和--setParameter之间少了空格，已修正
          mongod --replSet=test --bind_ip_all --auth --dbpath=/data/db --keyFile=/etc/mongodbkey/mongodb.key --setParameter=authenticationMechanisms=SCRAM-SHA-1;
      # ... 其他原有配置不变
      volumeMounts:
        - name: mongodb-persistent-storage-claim
          mountPath: /data/db
        # 挂载中转后的emptyDir
        - name: mongodbkey
          mountPath: /etc/mongodbkey/mongodb.key
          subPath: mongodb.key
        - name: mongodb-init
          mountPath: /data/mongodbinit

方案2：将密钥迁移到Secret（更安全） #

密钥属于敏感数据，不适合存在ConfigMap中，建议迁移到Secret：

1. 创建Secret：

kubectl create secret generic mongodb-key --from-file=mongodb.key=./your-key-file

2. 修改上述配置中的mongodbkey-source为Secret类型：

- name: mongodbkey-source
  secret:
    secretName: mongodb-key
    defaultMode: 0400

额外注意事项 #

• 原配置中mongod命令存在拼写错误：--keyFile=/etc/mongodbkey/mongodb.key--setParameter缺少空格，会导致MongoDB启动失败，需修正为--keyFile=/etc/mongodbkey/mongodb.key --setParameter。
• emptyDir是临时存储，Pod重启后会丢失，但密钥源来自ConfigMap/Secret，重启后Init容器会重新复制，不影响使用。

内容的提问来源于stack exchange，提问作者user21272743