如何在Windows容器中正确挂载包含子目录的Kubernetes Secret

这并不是你的操作错误，而是Kubernetes在Windows容器环境下处理Secret卷挂载嵌套路径时的兼容性问题。

为什么会出现这个问题？ #

Kubernetes的Secret卷挂载机制最初为Linux设计，依赖Linux文件系统的符号链接特性。当在Windows容器中使用items字段指定嵌套路径（比如path: Files/secret.txt）时，Kubernetes的volume插件会错误地将Files创建为文件符号链接，而非Windows所需的目录符号链接——这就是你无法cd Files的核心原因，因为Windows不允许通过文件链接进入目录。

不过你已经发现了关键线索：实际的目录和文件都正确存在于..data\Files下，只是顶层的符号链接类型不符合Windows的要求。

解决办法 #

方法1：调整Secret的结构（推荐）

避免使用items字段重命名路径，直接在创建Secret时就包含正确的目录结构，让Kubernetes自动生成符合Windows要求的目录符号链接。

1. 先在本地搭建对应目录结构：

   mkdir Files
   copy .\secret.txt .\Files\
   

2. 基于整个目录创建Secret：

   kubectl -n <你的命名空间> create secret generic fs-testsecret --from-file=Files
   

3. 修改Pod的YAML配置，移除items部分：

   apiVersion: v1
   kind: Pod
   metadata:
     name: fs-testpod
   spec:
     containers:
     - command:
       - powershell
       image: mcr.microsoft.com/windows/servercore:ltsc2019
       imagePullPolicy: IfNotPresent
       name: fs-testpod-container
       stdin: true
       tty: true
       volumeMounts:
       - mountPath: C:\Secrets
         name: secrets-volume
         readOnly: true
     nodeSelector:
       kubernetes.io/os: windows
       node.kubernetes.io/windows-build: 10.0.17763
     tolerations:
     - effect: NoSchedule
       key: kubernetes.io/os
       operator: Equal
       value: windows
     volumes:
     - name: secrets-volume
       secret:
         secretName: fs-testsecret
   

挂载完成后，C:\Secrets\Files会是正确的目录符号链接，你可以正常导航进入该目录。

方法2：容器启动时手动修正符号链接（临时Workaround）

如果无法调整Secret的结构，可以在容器启动脚本中加入符号链接修正逻辑：

apiVersion: v1
kind: Pod
metadata:
  name: fs-testpod
spec:
  containers:
  - command:
    - powershell
    - -Command
    - |
        # 删除错误的文件符号链接
        Remove-Item C:\Secrets\Files -Force
        # 创建符合Windows要求的目录符号链接
        New-Item -ItemType SymbolicLink -Path C:\Secrets\Files -Target ..data\Files
        # 保持容器运行
        Start-Sleep -Seconds 3600
    image: mcr.microsoft.com/windows/servercore:ltsc2019
    imagePullPolicy: IfNotPresent
    name: fs-testpod-container
    stdin: true
    tty: true
    volumeMounts:
    - mountPath: C:\Secrets
      name: secrets-volume
      readOnly: true
  # 其余nodeSelector、tolerations、volumes配置保持不变

补充说明 #

这个问题属于Kubernetes在Windows平台上的已知兼容性细节，社区一直在推进相关修复，但目前（截至2024年）还没有统一的官方解决方案，因此优先推荐方法1来从根源规避问题。

内容的提问来源于stack exchange，提问作者Fabian Schmied