树莓派Kubernetes集群中Samba共享卷Radarr.pid文件写入权限异常求助

针对你在树莓派K8s集群中使用fstab/cifs挂载Samba共享后，Radarr能生成/config/radarr.pid却提示权限拒绝的问题，我整理了几个针对性的解决方案，从配置错误到权限上下文逐一排查：

1. 修正FlexVolume的基础配置错误 #

你当前的挂载YAML里有个明显的矛盾点：使用fstab/cifs驱动，但fsType设置成了nfs，这会导致挂载逻辑混乱，是大概率的问题根源。修改如下：

- name: master-share-config
  flexVolume:
    driver: "fstab/cifs"
    fsType: "cifs"  # 这里改成cifs，和驱动匹配
    secretRef:
      name: "master-share-secret"
    options:
      networkPath: "//MACHINE_IP_ADDRESS/apps/radarr/"
      # 调整mountOptions，去掉不必要的exec/dev/suid，添加nobrl解决文件锁问题
      mountOptions: "dir_mode=0755,file_mode=0644,uid=k8sadmin,gid=k8sadmin,rw,nobrl"

添加nobrl参数是因为CIFS默认的字节范围锁可能干扰Radarr写入PID文件的操作，很多类似的媒体应用都会遇到这个问题。

2. 调整Samba服务器端的权限配置 #

即使客户端挂载参数正确，Samba服务器的配置也可能覆盖权限设置。在Samba服务器的smb.conf中找到对应的共享段（比如[apps]），添加以下配置：

[apps]
    # 其他已有配置...
    force user = k8sadmin
    force group = k8sadmin
    create mask = 0644
    directory mask = 0755
    read only = no

• force user/group会强制所有共享文件的属主为指定用户，确保客户端的uid/gid映射不会失效
• create mask/directory mask确保新生成的文件和目录权限符合预期
  修改后重启Samba服务（比如sudo systemctl restart smbd nmbd）。

3. 对齐容器运行用户与挂载卷权限 #

确认Radarr容器运行的用户和挂载卷的属主一致：

1. 先在K8s节点上查询k8sadmin的uid和gid：

   id k8sadmin
   

2. 在Deployment的Pod模板中添加securityContext，让容器以该用户运行：

   spec:
     containers:
     - name: radarr
       # 其他容器配置...
       securityContext:
         runAsUser: 1001  # 替换成k8sadmin的实际uid
         runAsGroup: 1001 # 替换成k8sadmin的实际gid
         fsGroup: 1001    # 确保容器内的进程能访问卷的文件
   

这样容器内的运行用户和挂载卷的属主完全匹配，避免权限上下文不一致导致的隐性拒绝。

4. 验证挂载后的实际权限 #

在Pod运行后，进入容器确认权限情况：

# 查看PID文件的属主和权限
kubectl exec -it <你的Radarr Pod名称> -- ls -l /config/radarr.pid
# 查看容器当前运行的用户
kubectl exec -it <你的Radarr Pod名称> -- id

如果输出显示文件属主是k8sadmin，且容器运行用户也是该用户，说明权限配置已经正确。

这些步骤应该能解决你遇到的“能生成文件但无法写入”的隐性权限问题，核心是修正驱动与文件系统类型的不匹配，以及确保客户端、服务器、容器三方的权限上下文一致。

内容的提问来源于stack exchange，提问作者Joao Lopes