jessebot/coturn-chart初始化容器因权限问题启动失败

问题背景 #

部署jessebot/coturn-chart时，ReplicaSet正常启动，但coturn Pod的初始化容器运行失败。通过调试发现：初始化容器以yq用户运行，尝试将/initial/turnserver.conf复制到/data/turnserver.yaml时，因/data目录仅root用户拥有写入权限，触发权限拒绝错误。

调试输出如下：

+ whoami
yq

+ ls -lah /
  total 80K
  drwxr-xr-x    1 root     root        4.0K Nov 20 12:13 .
  drwxr-xr-x    1 root     root        4.0K Nov 20 12:13 ..
  drwxr-xr-x    2 root     root        4.0K Sep 28 11:18 bin
  drwxr-xr-x    3 root     root        4.0K Nov 20 12:02 data
  drwxr-xr-x    5 root     root         360 Nov 20 12:13 dev
  drwxr-xr-x    1 root     root        4.0K Nov 20 12:13 etc
  drwxrwxrwx    3 root     root        4.0K Nov 20 12:02 extra
  drwxr-xr-x    1 root     root        4.0K Nov 19 23:54 home
  drwxrwxrwx    3 root     root        4.0K Nov 20 12:02 initial
  drwxr-xr-x    7 root     root        4.0K Sep 28 11:18 lib
  drwxr-xr-x    5 root     root        4.0K Sep 28 11:18 media
  drwxr-xr-x    2 root     root        4.0K Sep 28 11:18 mnt
  drwxr-xr-x    2 root     root        4.0K Sep 28 11:18 opt
  dr-xr-xr-x  643 root     root           0 Nov 20 12:13 proc
  drwx------    2 root     root        4.0K Sep 28 11:18 root
  drwxr-xr-x    1 root     root        4.0K Nov 20 12:13 run
  drwxr-xr-x    2 root     root        4.0K Sep 28 11:18 sbin
  drwxr-xr-x    2 root     root        4.0K Sep 28 11:18 srv
  dr-xr-xr-x   13 root     root           0 Nov 20 12:02 sys
  drwxrwxrwt    2 root     root        4.0K Sep 28 11:18 tmp
  drwxr-xr-x    1 root     root        4.0K Sep 28 11:18 usr
  drwxr-xr-x   12 root     root        4.0K Sep 28 11:18 var
  drwxr-xr-x    1 yq       yq          4.0K Nov 19 23:54 workdir

+ ls -lah /data
  total 24K
  drwxr-xr-x    3 root     root        4.0K Nov 20 12:02 .
  drwxr-xr-x    1 root     root        4.0K Nov 20 12:13 ..
  drwx------    2 root     root       16.0K Nov 20 12:02 lost+found

+ cp /initial/turnserver.conf /data/turnserver.yaml
  cp: can't create '/data/turnserver.yaml': Permission denied

解决方案 #

方案1：让初始化容器以root用户运行 #

在Chart的values.yaml中修改初始化容器的securityContext，指定以root用户（UID 0）运行：

initContainers:
  init-config:
    securityContext:
      runAsUser: 0

此方法直接赋予初始化容器写入/data目录的权限，是最直接的解决方式。

方案2：调整/data目录权限（不推荐生产环境） #

如果不想以root运行初始化容器，可以在初始化容器的命令中先修改/data目录权限，再执行复制操作：

initContainers:
  init-config:
    command:
      - sh
      - -c
      - |
        chmod 777 /data
        cp /initial/turnserver.conf /data/turnserver.yaml

注意：开放/data目录的全局写入权限会带来安全风险，仅适合测试环境使用。

方案3：自定义初始化容器镜像 #

构建自定义镜像，预先调整/data目录的权限或添加yq用户到对应权限组，替换Chart中原有的初始化容器镜像。这种方式更安全，适合生产环境，但需要额外维护镜像。

内容的提问来源于stack exchange，提问作者Andrew Summer