K8s云部署权限异常：本地可访问/opt/something云端无法操作

• 检查云端集群的SELinux/AppArmor配置
  部分云端K8s集群默认开启SELinux或AppArmor安全模块，会拦截容器内的文件操作，即使目录权限配置正确也可能失效。可临时关闭测试：

  • SELinux：在Pod的securityContext中添加

    seLinuxOptions:
      type: "container_t"
    

  • AppArmor：给Pod添加注解

    annotations:
      container.apparmor.security.beta.kubernetes.io/your-container-name: unconfined
    

  测试有效后，再调整为符合安全规范的策略，避免长期使用unconfined模式。

• 修复PVC挂载后的权限继承问题
  部分云端存储类（如EBS、GCE Persistent Disk）挂载后，目录权限会被存储端设置覆盖，而非继承容器镜像的root权限。可通过初始化容器提前修正权限：

  initContainers:
  - name: fix-dir-perms
    image: busybox:latest
    command: ["chown", "-R", "1000:1000", "/opt/something"]
    volumeMounts:
    - name: your-volume-claim
      mountPath: /opt/something
  

  初始化容器会在应用启动前将目标目录的属主/属组改为1000，确保应用容器有权限操作。

• 验证容器镜像的用户UID匹配
  部分开源镜像默认使用非root用户运行，若你设置的runAsUser=1000与镜像内用户UID不匹配，会导致权限问题。可进入容器查看当前用户UID：

  kubectl exec -it <your-pod-name> -- id
  

  若UID不匹配，要么将runAsUser调整为镜像内的实际UID，要么修改镜像的Dockerfile将用户UID改为1000（若有权限修改镜像）。

• 确认特权提升配置的作用范围
  若你设置了allowPrivilegeEscalation: true，需确保该配置是添加在容器级别的securityContext中，而非仅Pod级别。部分场景下Pod级别的设置不会向下覆盖容器配置。

• 检查集群的PodSecurityStandard（PSS）/PodSecurityPolicy（PSP）限制
  多数云端集群默认启用PSS/PSP安全策略，Restricted模式会强制非root用户运行，同时可能限制文件系统权限。可通过以下命令查看Pod的违规警告：

  kubectl describe pod <your-pod-name> | grep -A 10 "Warning"
  

  若存在PSS相关警告，需调整Pod的securityContext以符合集群策略要求，或联系集群管理员放宽对应限制。

内容的提问来源于stack exchange，提问作者redpandoux