Kubernetes容器非特权模式下写入/proc/sys/*所需能力咨询

不存在专门允许写入所有/proc/sys/*文件的单一Linux能力，不同的/proc/sys条目对应不同的权限要求。针对你要修改的net.ipv4.ip_forward这类网络相关参数，需要CAP_NET_ADMIN能力，但还要注意修改方式——直接写文件会因为/proc/sys的只读挂载限制失败，得换用正确的方法。

具体解决方案 #

1. 给容器添加CAP_NET_ADMIN能力

在Pod的YAML配置中，为容器添加该能力，同时关闭特权模式：

spec:
  containers:
  - name: 你的容器名
    securityContext:
      capabilities:
        add: ["NET_ADMIN"]
      privileged: false
    # 其他容器配置（镜像、命令等）

2. 修改IP转发的正确命令

不要用echo 1 >| /proc/sys/net/ipv4/ip_forward直接写文件（非特权容器的/proc/sys默认是只读挂载，会触发"Read-only file system"错误），改用sysctl命令：

sysctl -w net.ipv4.ip_forward=1

这个命令通过系统调用修改内核参数，不需要写文件系统，只要容器拥有CAP_NET_ADMIN能力就能执行成功。

3. 更规范的Kubernetes原生配置方式

如果你的Kubernetes集群允许修改节点级sysctl（需要集群管理员将net.ipv4.ip_forward加入允许的unsafe sysctl列表），可以直接在Pod的spec中配置，无需手动执行命令：

spec:
  securityContext:
    sysctls:
    - name: net.ipv4.ip_forward
      value: "1"
  containers:
  - name: 你的容器名
    securityContext:
      privileged: false
    # 其他容器配置

注意：这种方式需要kubelet配置中添加--allowed-unsafe-sysctls=net.ipv4.ip_forward，否则Pod会启动失败。

内容的提问来源于stack exchange，提问作者brandizzi