Pod持续重启时如何验证挂载的Secret文件是否存在？

通过Terraform创建包含client.crt、ca.crt、client.key的Secret存储卷，并挂载到Pod的/etc/db-cfg路径，配置如下：

resource "kubernetes_secret_v1" "db-config" {
  metadata {
    name      = "db-config"
    namespace = kubernetes_namespace_v1.ns.metadata.0.name
    labels    = {
      "sensitive" = "true"
    }
  }

  data = {
    "client.crt" = var.db_ssl_cert
    "client.key" = var.db_ssl_key
    "ca.crt"     = var.db_ssl_root_cert
  }
}

# Pod部署配置
resource "kubernetes_deployment_v1" "xx-worker" {
  depends_on = [
    kubernetes_namespace_v1.ns,
    kubernetes_secret_v1.db-config
  ]

  metadata {
    name      = "xx-worker-deployment"
    namespace = kubernetes_namespace_v1.ns.metadata.0.name

    labels = {
      tier = "xx-worker"
    }
  }

  spec {
    selector {
      match_labels = {
        tier = "xx-worker"
      }
    }

    template {
      metadata {
        labels = {
          tier = "xx-worker"
        }
      }

      spec {
        volume {
          name = "xx-db-volume"
          secret {
            secret_name = kubernetes_secret_v1.db-config.metadata.0.name
            items {
              key  = "client.crt"
              path = "client.crt"
            }
            items {
              key  = "client.key"
              path = "client.key"
            }
            items {
              key  = "ca.crt"
              path = "ca.crt"
            }
          }
        }

        volume_mount {
          name       = "xx-db-volume"
          mount_path = "/etc/db-cfg"
          read_only  = true
        }

...

Pod启动时报错：

sslmode=require sslcert=/etc/db-cfg/client.crt sslkey=/etc/db-cfg/client.key sslrootcert=/etc/db-cfg/ca.crt: failed to configure TLS (unable to load cert: tls: failed to find any PEM data in certificate input)

后续确认问题出在证书文件内容而非文件缺失，但想了解：当Pod持续重启无法通过kubectl exec进入时，如何确认挂载的文件是否存在？

当Pod处于CrashLoopBackOff等持续重启状态无法进入容器时，可以通过以下几种方式验证Secret挂载的文件是否存在：

• 查看Pod事件与状态详情
  执行kubectl describe pod <pod-name> -n <namespace>，在输出的Volumes和VolumeMounts部分可确认Secret卷是否成功关联、挂载路径是否正确。如果Secret不存在或权限异常，事件中会出现FailedMount类报错，可间接判断挂载是否成功。

• 临时修改Pod启动命令
  修改Deployment的Pod模板，将容器启动命令改为不会退出的调试命令，比如sleep 3600或tail -f /dev/null：

  # 在kubernetes_deployment_v1的spec.template.spec.containers中添加/修改command
  spec {
    containers {
      name  = "xx-worker"
      image = "your-image"
      command = ["sleep", "3600"]
      # 其他原有配置...
      volume_mount {
        name       = "xx-db-volume"
        mount_path = "/etc/db-cfg"
        read_only  = true
      }
    }
  }
  

  应用修改后，Pod会保持运行状态，此时可通过kubectl exec进入容器，查看/etc/db-cfg目录下的文件是否存在。

• 使用init容器验证挂载
  在Pod模板中添加一个init容器，挂载同一个Secret卷后执行文件查看命令：

  spec {
    init_containers {
      name  = "check-secret-mount"
      image = "busybox:latest"
      command = ["sh", "-c", "ls -l /etc/db-cfg && echo 'Mount check completed'"]
      volume_mount {
        name       = "xx-db-volume"
        mount_path = "/etc/db-cfg"
        read_only  = true
      }
    }
    # 原有容器配置...
  }
  

  应用配置后，查看init容器日志：kubectl logs <pod-name> -c check-secret-mount -n <namespace>，日志会显示/etc/db-cfg目录下的文件列表，以此确认文件是否存在。

• 检查Secret本身的内容
  直接查看Secret的键是否完整：执行kubectl get secret db-config -n <namespace> -o yaml，在data字段下可看到client.crt、client.key、ca.crt是否存在（内容为base64编码）。如果Secret本身的键缺失，挂载后自然不会有对应文件。

内容的提问来源于stack exchange，提问作者Kokizzu