K8s中修改ConfigMap挂载文件权限为jboss:jboss的问题

将ConfigMap挂载到Pod后，文件权限为root:jboss，需要修改为jboss:jboss并获得可写权限，尝试在容器启动命令中执行chown -R jboss:jboss /opt/jboss/wildfly/standalone/configuration/*未生效。

相关环境信息 #

镜像Dockerfile #

FROM quay.io/wildfly/wildfly:26.1.0.Final
USER root
RUN yum install bind-utils -y
RUN yum -y install telnet
USER jboss
RUN mkdir -m 755 /opt/jboss/wildfly/standalone/data
COPY --chown=jboss:jboss ./localFolder/abc/*.war /opt/jboss/wildfly/standalone/
RUN chmod -R 755 /opt/jboss/wildfly/standalone/

ConfigMap配置 #

apiVersion: v1
kind: ConfigMap
metadata:
  name: {{ .Values.labels.app }}-{{ .Values.labels.version | lower | replace "_" "-" | replace "." "-" }}-configs
data:
{{ tpl (.Files.Glob "config/*").AsConfig . | indent 2 }}

Deployment挂载配置 #

volumes:
- name: {{ .Values.labels.app }}-volume-1
  configMap:
   name: {{ .Values.labels.app }}-{{ .Values.labels.version | lower | replace "_" "-" | replace "." "-" }}-configs
...
volumeMounts:
- name: {{ .Values.labels.app }}-volume-1
  mountPath: /opt/jboss/wildfly/standalone/configuration/ccgw.properties
  subPath: ccgw.properties

方法1：通过SecurityContext自动调整权限 #

在Deployment的Pod模板中添加SecurityContext配置，让K8s自动调整挂载文件的属组和权限：

spec:
  securityContext:
    runAsUser: 1000  # 替换为jboss用户的实际UID，可通过镜像内执行`id jboss`查看
    fsGroup: 1000    # 替换为jboss用户的实际GID
  containers:
  - name: your-container-name
    ...
    volumeMounts:
    - name: {{ .Values.labels.app }}-volume-1
      mountPath: /opt/jboss/wildfly/standalone/configuration/ccgw.properties
      subPath: ccgw.properties
  volumes:
  - name: {{ .Values.labels.app }}-volume-1
    configMap:
      name: {{ .Values.labels.app }}-{{ .Values.labels.version | lower | replace "_" "-" | replace "." "-" }}-configs
      defaultMode: 0664  # 赋予文件读写权限，属组可写

设置fsGroup后，K8s会自动将挂载卷内文件的属组改为指定GID，配合defaultMode可直接获得符合要求的权限。

方法2：用Init容器预处理权限 #

创建以root运行的Init容器，先将ConfigMap文件复制到临时目录修改权限，再同步到目标路径：

spec:
  initContainers:
  - name: fix-config-perms
    image: quay.io/wildfly/wildfly:26.1.0.Final
    command: ["sh", "-c", "cp /tmp-config/ccgw.properties /config-dir/ccgw.properties && chown jboss:jboss /config-dir/ccgw.properties && chmod 664 /config-dir/ccgw.properties"]
    securityContext:
      runAsUser: 0
    volumeMounts:
    - name: {{ .Values.labels.app }}-volume-1
      mountPath: /tmp-config
    - name: config-storage
      mountPath: /config-dir
  containers:
  - name: your-container-name
    ...
    volumeMounts:
    - name: config-storage
      mountPath: /opt/jboss/wildfly/standalone/configuration
  volumes:
  - name: {{ .Values.labels.app }}-volume-1
    configMap:
      name: {{ .Values.labels.app }}-{{ .Values.labels.version | lower | replace "_" "-" | replace "." "-" }}-configs
  - name: config-storage
    emptyDir: {}

主容器直接使用Init容器处理好权限的文件，避开ConfigMap挂载的只读限制。

方法3：调整启动命令逻辑（修复原chown无效问题） #

原命令无效是因为ConfigMap挂载文件默认只读，可先复制到可写目录再修改权限：

containers:
- name: your-container-name
  command: ["sh", "-c", "cp /opt/jboss/wildfly/standalone/configuration/ccgw.properties /tmp/ccgw.properties && chown jboss:jboss /tmp/ccgw.properties && chmod 664 /tmp/ccgw.properties && ln -sf /tmp/ccgw.properties /opt/jboss/wildfly/standalone/configuration/ccgw.properties && /opt/jboss/wildfly/bin/standalone.sh"]
  ...

需确保容器内/tmp目录有写入权限，且应用能识别软链接后的文件。

• ConfigMap挂载的文件默认是只读状态，直接修改挂载文件权限会失败，需通过上述绕开只读限制的方式处理。
• 可通过在镜像内执行id jboss命令，获取jboss用户的准确UID和GID，避免配置错误。

内容的提问来源于stack exchange，提问作者ITBYD