为Kubernetes部署添加readonlyRootFilesystem:true后CoreCLR创建失败

这个错误是因为.NET运行时初始化CoreCLR时，需要写入临时文件、JIT编译缓存等数据，但启用readOnlyRootFilesystem: true后，默认的可写目录（比如/tmp、.NET缓存目录）无法写入，直接导致运行时初始化失败。

解决方案1：挂载可写临时卷到.NET依赖目录 #

你需要在Kubernetes Pod配置中，为.NET运行时需要的可写目录挂载临时卷（emptyDir或tmpfs均可），这些卷不受根文件系统只读限制。

常见需要挂载的目录：

• /tmp：通用临时文件存储目录
• /var/tmp：系统级临时目录
• /root/.dotnet：.NET运行时缓存目录（以root用户运行时）

在Helm的values.yaml或Deployment YAML中添加如下配置：

spec:
  template:
    spec:
      securityContext:
        readOnlyRootFilesystem: true
      containers:
      - name: helloworld
        image: your-helloworld-image:tag
        securityContext:
          readOnlyRootFilesystem: true
        volumeMounts:
        - name: tmp-volume
          mountPath: /tmp
        - name: var-tmp-volume
          mountPath: /var/tmp
        - name: dotnet-cache-volume
          mountPath: /root/.dotnet
      volumes:
      - name: tmp-volume
        emptyDir: {}
      - name: var-tmp-volume
        emptyDir: {}
      - name: dotnet-cache-volume
        emptyDir: {}

解决方案2：指定.NET临时目录环境变量 #

通过环境变量强制.NET使用挂载的可写目录，避免运行时找不到可写路径：

env:
- name: TMP
  value: /tmp
- name: TEMP
  value: /tmp
- name: DOTNET_TEMP_DIR
  value: /tmp

解决方案3：使用非root用户运行（更安全） #

如果你的镜像支持非root用户，建议配置容器以非root身份运行，同时确保挂载卷对该用户有读写权限。

首先在Dockerfile中创建非root用户：

FROM mcr.microsoft.com/dotnet/runtime:6.0
WORKDIR /app
COPY bin/Release/net6.0/publish/ .
RUN useradd -m appuser
USER appuser
ENTRYPOINT ["dotnet", "HelloWorld.dll"]

然后在Kubernetes配置中添加用户身份设置：

securityContext:
  runAsUser: 1000
  runAsNonRoot: true

验证配置 #

部署完成后，可进入容器确认配置生效：

kubectl exec -it <pod-name> -- bash
# 验证临时目录可写
touch /tmp/test-file
# 验证根文件系统只读（应该报错）
touch /test-file

内容的提问来源于stack exchange，提问作者JS noob