Kubernetes Pod挂载卷提示‘Operation not permitted’问题求助

我在Windows 10上运行Docker Desktop 4.10并启用了K8s，使用Helm 3.12通过Helm Chart部署了以下K8s资源：

apiVersion: v1
kind: PersistentVolume
metadata:
  name: fab-rabbitmq
  labels:
    type: mydata
spec:
  capacity:
    storage: 2Gi
  accessModes:
    - ReadWriteOnce
  storageClassName: hostpath
  hostPath:
    path: /c/data
---
apiVersion: v1
kind: PersistentVolumeClaim
metadata:
  name: pvc1
spec:
  accessModes:
    - ReadWriteOnce
  volumeMode: Filesystem
  resources:
    requests:
      storage: 2Gi
  storageClassName: hostpath
  selector:
    matchLabels:
      type: "mydata"
---
apiVersion: v1
kind: Pod
metadata:
  name: pod1
spec:
  containers:
    - name: myfrontend
      image: nginx
      volumeMounts:
      - mountPath: "/mydata"
        name: vol1
  volumes:
    - name: vol1
      persistentVolumeClaim:
        claimName: pvc1

部署完成后Pod运行正常，PVC已绑定到PV，且已为Windows的C:\data设置了Everyone完全控制权限。但进入Pod执行kubectl exec -it pod1 bash后，运行ls -la mydata出现错误：

ls: reading directory 'mydata': Operation not permitted

无法访问挂载目录。而使用docker run -v /c/data:/mydata nginx直接运行容器时，可正常访问/mydata。请问哪里操作有误？

解决方案 #

1. 权限映射不匹配 #

Docker Desktop的K8s环境中，HostPath挂载的权限处理逻辑和直接docker run不同：

• 直接docker run时，Docker会自动适配Windows与Linux容器的权限映射；
• K8s的HostPath插件未做自动适配，Windows目录的权限在Linux容器内会被转换为特定UID/GID，可能与容器内运行用户（nginx默认用非root用户）不匹配。

2. 给Pod添加SecurityContext配置 #

修改Pod的YAML，指定容器以root用户运行（UID 0），或者调整挂载目录的权限：

apiVersion: v1
kind: Pod
metadata:
  name: pod1
spec:
  securityContext:
    runAsUser: 0
    runAsGroup: 0
  containers:
    - name: myfrontend
      image: nginx
      volumeMounts:
      - mountPath: "/mydata"
        name: vol1
  volumes:
    - name: vol1
      persistentVolumeClaim:
        claimName: pvc1

3. 修正HostPath的实际挂载路径 #

Docker Desktop在K8s环境中，Windows共享目录的实际挂载路径是/run/desktop/mnt/host/c/data，替换PV中的hostPath.path：

apiVersion: v1
kind: PersistentVolume
metadata:
  name: fab-rabbitmq
  labels:
    type: mydata
spec:
  capacity:
    storage: 2Gi
  accessModes:
    - ReadWriteOnce
  storageClassName: hostpath
  hostPath:
    path: /run/desktop/mnt/host/c/data

4. 验证HostPath存储类配置 #

确保Docker Desktop默认的hostpath存储类存在，检查其provisioner是否为docker.io/hostpath，避免存储类的权限策略导致访问受限。

内容的提问来源于stack exchange，提问作者Sagi Mann