如何在非Root Docker容器及无特权Kubernetes Pod中运行mountpoint-s3？

不行，mountpoint-s3基于FUSE（用户空间文件系统）实现，这类工具要和内核层交互，必须依赖特定权限，没法做到完全无额外权限运行，但你可以用比--privileged更安全的最小权限配置满足需求，不用给Pod开放完全管理员权限。

具体配置方式 #

在Kubernetes Pod的securityContext中仅授予必要权限即可：

1. 添加SYS_ADMIN能力：这是FUSE工具与内核交互的必需能力
2. 允许访问主机的/dev/fuse设备：FUSE需通过该设备节点与内核通信

示例Pod配置：

apiVersion: v1
kind: Pod
metadata:
  name: mountpoint-s3-demo
spec:
  containers:
  - name: mountpoint-s3
    image: 你的mountpoint-s3镜像名
    command: ["mount-s3", "你的S3桶名", "/mnt/s3-bucket"]
    securityContext:
      capabilities:
        add: ["SYS_ADMIN"]
      devices:
      - path: /dev/fuse
        hostPath: /dev/fuse
        type: CharDevice
    volumeMounts:
    - name: s3-mount-dir
      mountPath: /mnt/s3-bucket
  volumes:
  - name: s3-mount-dir
    emptyDir: {}

为什么不能完全无权限？ #

FUSE的工作机制要求用户空间进程能向内核注册文件系统驱动，这个操作必须持有SYS_ADMIN能力，同时需要访问/dev/fuse设备节点——这两个权限是这类工具运行的必要条件，无法绕过。不过这种配置比--privileged安全得多，因为仅授予了运行mountpoint-s3必需的权限，没有开放Pod的完全管理员权限。

内容的提问来源于stack exchange，提问作者losingsleeep