GKE中用Filestore域名而非IP配置PV，同时实现fsGroup权限生效

核心逻辑 #

原生NFS驱动挂载时，fsGroup权限调整依赖内核层面的NFS协议特性，使用域名时该逻辑会失效；而Filestore CSI驱动是在挂载后主动修改目录权限，不受NFS协议限制，且本身支持用域名作为挂载目标——只要集群DNS能正确解析该域名，就能同时满足两个需求。

步骤1：验证集群DNS对Filestore域名的解析能力 #

先确认GKE集群能解析my.filestore.com，可临时启动测试Pod验证：

kubectl run -it --rm dns-test --image=busybox:1.36 -- nslookup my.filestore.com

若返回Filestore实例的正确IP，说明DNS配置正常；若无法解析，需确保集群与Filestore在同一VPC，或配置Cloud DNS私有区域完成域名映射。

步骤2：创建CSI类型的PersistentVolume（PV） #

使用GCP官方的Filestore CSI驱动，将server字段设为目标域名，同时填写Filestore实例的资源ID作为volumeHandle：

apiVersion: v1
kind: PersistentVolume
metadata:
  name: filestore-pv
spec:
  capacity:
    storage: 1Ti # 需匹配Filestore实例的实际容量
  accessModes:
    - ReadWriteMany
  persistentVolumeReclaimPolicy: Retain
  csi:
    driver: filestore.csi.storage.gke.io
    volumeHandle: projects/你的GCP项目ID/locations/实例区域/instances/你的Filestore实例名
    volumeAttributes:
      server: my.filestore.com
      share: /vol1 # 替换为你的Filestore共享路径

步骤3：创建PersistentVolumeClaim（PVC）绑定PV #

apiVersion: v1
kind: PersistentVolumeClaim
metadata:
  name: filestore-pvc
spec:
  accessModes:
    - ReadWriteMany
  resources:
    requests:
      storage: 1Ti
  volumeName: filestore-pv

步骤4：配置Pod并验证权限 #

在Pod的securityContext中设置fsGroup:101，挂载上述PVC：

apiVersion: v1
kind: Pod
metadata:
  name: filestore-test-pod
spec:
  containers:
  - name: test-container
    image: busybox:1.36
    command: ["sleep", "3600"]
    volumeMounts:
    - name: filestore-volume
      mountPath: /data
  volumes:
  - name: filestore-volume
    persistentVolumeClaim:
      claimName: filestore-pvc
  securityContext:
    fsGroup: 101

进入Pod查看挂载目录权限：

kubectl exec -it filestore-test-pod -- ls -ld /data

此时目录组权限应显示为101，符合预期。

备选：自定义CoreDNS解析（默认DNS无法解析时） #

若集群无法直接解析目标域名，可通过CoreDNS添加自定义解析规则：

1. 创建CoreDNS自定义配置的ConfigMap：

apiVersion: v1
kind: ConfigMap
metadata:
  name: coredns-custom
  namespace: kube-system
data:
  my.filestore.com.db: |
    my.filestore.com. IN A 10.xxx.xxx.xxx # 替换为Filestore实例的实际IP

2. 修改CoreDNS的Deployment配置，确保加载该自定义规则（配置中需包含import /etc/coredns/custom/*.db），重启CoreDNS后即可在集群内解析该域名，再配合上述CSI配置即可生效。

内容的提问来源于stack exchange，提问作者ron.thakkar