升级Alpine镜像至3.7+后EKS容器启动失败求助

原因分析 #

Alpine 3.7及后续版本中，/var/run 是 /run 的符号链接。你将自定义 Secret 直接挂载到 /run/secrets 后，Kubernetes 默认要创建的 /var/run/secrets/kubernetes.io/serviceaccount 实际指向 /run/secrets/kubernetes.io/serviceaccount——而挂载的 Secret 是只读文件系统，无法在其下创建子目录，因此触发报错。

解决方案 #

方案1：调整自定义Secret挂载路径（推荐） #

不要将自定义 Secret 挂载到 /run/secrets，改为挂载到子目录，比如 /run/secrets/custom。这样 /run/secrets 保持为普通目录，Kubernetes 可以正常创建 kubernetes.io/serviceaccount 子目录并完成默认挂载。

示例Pod配置片段：

volumes:
  - name: custom-secret
    secret:
      secretName: your-custom-secret-name
containers:
  - name: your-container
    volumeMounts:
      - name: custom-secret
        mountPath: /run/secrets/custom
        readOnly: true

方案2：禁用默认ServiceAccount挂载 #

如果你的Pod不需要访问Kubernetes API，可以在Pod或Deployment配置中添加 automountServiceAccountToken: false，阻止Kubernetes尝试创建serviceaccount目录。

示例配置：

apiVersion: apps/v1
kind: Deployment
metadata:
  name: your-deployment
spec:
  template:
    spec:
      automountServiceAccountToken: false
      containers:
        - name: your-container
          # ... 其他配置

方案3：手动挂载ServiceAccount Secret #

如果必须保留/run/secrets的自定义挂载，同时需要访问Kubernetes API，可以手动指定ServiceAccount Secret的挂载路径，绕过默认的目录创建逻辑。

示例配置片段：

volumes:
  - name: custom-secret
    secret:
      secretName: your-custom-secret
  - name: sa-secret
    secret:
      secretName: default-token-xxxx # 替换为你的ServiceAccount对应的Secret名称
containers:
  - name: your-container
    volumeMounts:
      - name: custom-secret
        mountPath: /run/secrets
        readOnly: true
      - name: sa-secret
        mountPath: /var/run/secrets/kubernetes.io/serviceaccount
        readOnly: true

内容的提问来源于stack exchange，提问作者peter.karakas