非特权Kubernetes Pod如何访问主机/dev/tpm0设备？

一、直接通过系统配置放宽/dev/tpm0访问权限（最优方案） #

主机上的/dev/tpm0默认是root:root权限（通常为crw-rw----），非root用户无法直接访问。可以通过udev规则修改设备权限与所属组，让特定用户/组无需特权即可访问：

1. 创建udev规则文件/etc/udev/rules.d/99-tpm-access.rules，内容如下：

   SUBSYSTEM=="tpm", KERNEL=="tpm0", MODE="0660", GROUP="tpm"
   

   若主机不存在tpm组，先执行groupadd tpm创建。

2. 重新加载udev规则并触发设备权限更新：

   udevadm control --reload-rules
   udevadm trigger --subsystem-match=tpm --action=change
   

3. 在Kubernetes Pod配置中，通过securityContext指定运行用户的组，并挂载主机设备：

   apiVersion: v1
   kind: Pod
   metadata:
     name: tpm-service-pod
   spec:
     securityContext:
       runAsUser: 1000  # 容器内非root用户UID
       supplementalGroups: [1001]  # 对应主机tpm组的GID，需保持一致
     volumes:
       - name: tpm-device
         hostPath:
           path: /dev/tpm0
           type: CharDevice
     containers:
       - name: your-service
         image: your-service-image:latest
         volumeMounts:
           - name: tpm-device
             mountPath: /dev/tpm0
   

   配置完成后，容器内的非root用户即可直接访问/dev/tpm0，无需启用特权模式。

二、用socat做设备代理（适配无法修改主机配置的场景） #

如果无法修改主机udev规则，可在主机上通过socat将/dev/tpm0代理到普通路径，开放给特定用户访问：

1. 在主机上启动socat代理，将tpm0映射到/anotherpath/tpm0：

   socat UNIX-LISTEN:/anotherpath/tpm0,mode=0660,group=tpm,user=1000 OPEN:/dev/tpm0
   

   这里指定了代理路径的权限、所属组和用户，确保容器内非root用户可访问。

2. 将代理路径作为主机目录挂载到Pod中：

   apiVersion: v1
   kind: Pod
   metadata:
     name: tpm-proxy-pod
   spec:
     securityContext:
       runAsUser: 1000
     volumes:
       - name: tpm-proxy
         hostPath:
           path: /anotherpath
           type: Directory
     containers:
       - name: your-service
         image: your-service-image:latest
         volumeMounts:
           - name: tpm-proxy
             mountPath: /anotherpath
   

   容器内的服务即可通过/anotherpath/tpm0访问主机的TPM设备。

3. 为确保socat代理持续运行，可封装为systemd服务：
   创建/etc/systemd/system/tpm-proxy.service文件：

   [Unit]
   Description=TPM0 Device Proxy via socat
   After=network.target
   
   [Service]
   ExecStart=/usr/bin/socat UNIX-LISTEN:/anotherpath/tpm0,mode=0660,group=tpm,user=1000 OPEN:/dev/tpm0
   Restart=always
   
   [Install]
   WantedBy=multi-user.target
   

   执行以下命令启用并启动服务：

   systemctl daemon-reload
   systemctl start tpm-proxy.service
   systemctl enable tpm-proxy.service
   

三、关键注意事项 #

• 容器镜像需提前创建对应用户/组，或通过supplementalGroups让容器进程继承主机组权限。
• 避免使用0666全局可读写权限，尽量限制到特定用户/组，降低安全风险。
• 使用socat代理时，需监控进程稳定性，systemd的Restart=always可自动恢复挂掉的代理进程。

内容的提问来源于stack exchange，提问作者Lemon Sky