如何通过Helm使用Pre-delete Hook调用Pod内部脚本

方法一：使用Kubernetes原生PreStop生命周期钩子（推荐） #

Helm本质是管理Kubernetes资源的工具，你完全可以直接在Pod模板中定义Kubernetes原生的PreStop钩子，这个钩子会直接在待删除的Pod内部执行，完全满足你的需求，不需要依赖Helm的Hook机制。

示例：在Deployment的Pod模板中添加PreStop配置：

apiVersion: apps/v1
kind: Deployment
metadata:
  name: my-app
spec:
  replicas: 1
  selector:
    matchLabels:
      app: my-app
  template:
    metadata:
      labels:
        app: my-app
    spec:
      containers:
      - name: my-app-container
        image: my-app-image:latest
        lifecycle:
          preStop:
            exec:
              command: ["/bin/sh", "-c", "/path/to/your/script.sh"]

当Pod被删除时，Kubernetes会自动在该Pod内部执行指定的脚本，这是最直接且可靠的方式。

方法二：通过Helm Pre-delete Hook结合kubectl exec调用Pod内脚本 #

如果必须使用Helm的Pre-delete Hook，可以让Hook Pod通过kubectl exec进入目标Pod执行脚本，但需要额外配置RBAC权限，确保Hook Pod能访问Kubernetes API并执行命令。

步骤1：创建RBAC资源（给Hook Pod权限） #

在Helm Chart中添加ServiceAccount、ClusterRole和ClusterRoleBinding：

apiVersion: v1
kind: ServiceAccount
metadata:
  name: pre-delete-hook-sa
  annotations:
    "helm.sh/hook": pre-delete
    "helm.sh/hook-delete-policy": hook-succeeded,hook-failed
---
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: pre-delete-hook-clusterrole
  annotations:
    "helm.sh/hook": pre-delete
    "helm.sh/hook-delete-policy": hook-succeeded,hook-failed
rules:
- apiGroups: [""]
  resources: ["pods", "pods/exec"]
  verbs: ["get", "list", "create"]
---
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: pre-delete-hook-binding
  annotations:
    "helm.sh/hook": pre-delete
    "helm.sh/hook-delete-policy": hook-succeeded,hook-failed
subjects:
- kind: ServiceAccount
  name: pre-delete-hook-sa
  namespace: {{ .Release.Namespace }}
roleRef:
  kind: ClusterRole
  name: pre-delete-hook-clusterrole
  apiGroup: rbac.authorization.k8s.io

步骤2：定义Pre-delete Hook Job #

创建一个Job作为Helm的Pre-delete Hook，执行kubectl exec命令调用目标Pod内的脚本：

apiVersion: batch/v1
kind: Job
metadata:
  name: pre-delete-hook-job
  annotations:
    "helm.sh/hook": pre-delete
    "helm.sh/hook-delete-policy": hook-succeeded,hook-failed
spec:
  template:
    spec:
      serviceAccountName: pre-delete-hook-sa
      containers:
      - name: kubectl-container
        image: bitnami/kubectl:latest
        command:
        - /bin/sh
        - -c
        - |
          # 通过标签选择器找到目标Pod
          POD_NAME=$(kubectl get pods -l app=my-app -n {{ .Release.Namespace }} -o jsonpath='{.items[0].metadata.name}')
          # 执行Pod内的脚本
          kubectl exec $POD_NAME -n {{ .Release.Namespace }} -- /path/to/your/script.sh
      restartPolicy: OnFailure

注意事项 #

• 这个方法依赖目标Pod在Hook执行时仍处于运行状态，因为Pre-delete Hook是在Helm开始删除资源前触发，但如果Pod已经被标记为终止，kubectl exec可能失败。
• 需要确保Hook Pod使用的镜像包含kubectl工具，比如上述示例中的bitnami/kubectl。
• RBAC权限需要根据实际需求调整，避免过度授权。

内容的提问来源于stack exchange，提问作者caffein