K8s 1.24集群中Pod读取/dev/tty0的权限配置问题

就算容器里的用户组已经属于tty组，/dev/tty0的权限也看着没问题，但操作时还是提示权限不够——这是因为容器默认的Linux能力集里，缺了操作控制台TTY必需的权限。主机上的root用户有完整的能力集，所以能正常操作，但容器默认会砍掉大部分特权能力。

不用开privileged: true，只要在容器的securityContext里加必要的Linux能力，再把权限提升的配置弄对就行：

spec:
  volumes:
    - name: tty
      hostPath:
        path: /dev/tty0
  containers:
    - name: mycontainer
      image: ...
      volumeMounts:
        - name: tty
          mountPath: /dev/tty0
      securityContext:
        runAsUser: 0
        runAsGroup: 5
        allowPrivilegeEscalation: true  # 有些场景下需要，确保能力能生效
        capabilities:
          add:
            - CAP_SYS_TTY_CONFIG  # 操作TTY设备的核心能力

• CAP_SYS_TTY_CONFIG：这个能力允许进程配置终端设备，是访问/dev/tty0这类控制台TTY必须的内核权限。
• allowPrivilegeEscalation：容器以root运行时默认是true，但显式写出来能确保配置明确，避免因为K8s版本或者runtime不同出问题。
• 验证方法：应用配置后进容器，执行capsh --print就能看到已经加上了cap_sys_tty_config能力，这时候再跑cat /dev/tty0或者启动Xorg就正常了。

内容的提问来源于stack exchange，提问作者Ptiseb