Podman Pod挂载卷权限被拒：如何修改用户命名空间？

核心思路 #

默认情况下，Podman会将容器内的mysql用户（通常UID=27）映射到主机的系统预留UID（比如你的100998），导致主机目录权限不匹配。我们需要通过kube文件配置，让容器进程直接以主机的myuser（UID=1000）运行，同时修复SELinux上下文，无需关闭SELinux。

步骤1：修改kube文件的安全上下文 #

在你的kube文件中，为Pod添加securityContext配置，强制容器以myuser的UID/GID运行：

apiVersion: v1
kind: Pod
metadata:
  name: mariadb-pod
spec:
  # 添加Pod级安全上下文
  securityContext:
    runAsUser: 1000          # myuser的UID
    runAsGroup: 1000         # myuser的GID
    fsGroup: 1000            # 自动调整挂载卷的权限为该GID
  containers:
  - name: mariadb
    image: mariadb:latest
    env:
    - name: MYSQL_ROOT_PASSWORD
      value: "your-password"
    volumeMounts:
    - name: mysql-data
      mountPath: /var/lib/mysql
  volumes:
  - name: mysql-data
    hostPath:
      path: /home/myuser/mysql-data
      type: Directory

步骤2：调整主机目录权限与SELinux标签 #

1. 修正主机目录的属主，匹配容器运行的UID/GID：

   chown -R 1000:1000 /home/myuser/mysql-data
   

2. 为目录添加容器可识别的SELinux标签，避免权限拦截：

   chcon -Rt container_file_t /home/myuser/mysql-data
   

可选方案：用户命名空间映射（不修改容器运行用户） #

如果你不想改变容器内的mysql用户（仍用UID=27），可以在kube文件中配置用户映射，将容器内的UID=27直接映射到主机的UID=1000：

apiVersion: v1
kind: Pod
metadata:
  name: mariadb-pod
spec:
  securityContext:
    uidMappings:
    - containerID: 27    # 容器内mysql用户的UID
      hostID: 1000       # 主机myuser的UID
      size: 1            # 映射范围大小
    gidMappings:
    - containerID: 27    # 容器内mysql用户的GID
      hostID: 1000       # 主机myuser的GID
      size: 1
  containers:
  - name: mariadb
    image: mariadb:latest
    env:
    - name: MYSQL_ROOT_PASSWORD
      value: "your-password"
    volumeMounts:
    - name: mysql-data
      mountPath: /var/lib/mysql
  volumes:
  - name: mysql-data
    hostPath:
      path: /home/myuser/mysql-data
      type: Directory

这种情况下，主机目录仍需执行chown -R 1000:1000 /home/myuser/mysql-data和SELinux标签设置。

验证方法 #

启动Pod后，用以下命令确认用户映射：

podman top -l user,huser

此时容器内的运行用户应该对应主机的myuser（UID=1000），且/var/lib/mysql目录可正常读写。

内容的提问来源于stack exchange，提问作者Matt