如何在readonlyRootFilesystem: true的RHEL8容器中启用sudo并修改/etc/sudoers？

方案1：挂载可写卷覆盖/etc/sudoers #

在Kubernetes Pod配置中，为/etc/sudoers挂载可写卷（如emptyDir或persistentVolumeClaim），绕过根文件系统只读限制：

securityContext:
  readOnlyRootFilesystem: true
volumes:
- name: sudoers-volume
  emptyDir: {}
containers:
- name: your-container
  volumeMounts:
  - name: sudoers-volume
    mountPath: /etc/sudoers
    subPath: sudoers

注意：首次启动需将默认sudoers内容复制到该卷，否则/etc/sudoers会为空。可在Dockerfile中备份默认配置：

RUN cp /etc/sudoers /etc/sudoers.orig

再在Pod启动命令中执行复制：

command: ["/bin/bash", "-c"]
args: ["cp /etc/sudoers.orig /etc/sudoers && exec your-main-command"]

方案2：利用sudo的includedir机制（推荐） #

sudo默认支持从/etc/sudoers.d/加载额外规则，无需修改主sudoers文件，更安全灵活：

1. 确保Dockerfile中/etc/sudoers包含includedir配置（RHEL8默认已存在，可追加确认）：

RUN echo '#includedir /etc/sudoers.d' >> /etc/sudoers || true

2. 在Kubernetes配置中为/etc/sudoers.d/挂载可写卷：

securityContext:
  readOnlyRootFilesystem: true
volumes:
- name: sudoers-d-dir
  emptyDir: {}
containers:
- name: your-container
  volumeMounts:
  - name: sudoers-d-dir
    mountPath: /etc/sudoers.d/

3. 运行时直接在该目录下创建规则文件，示例：

echo 'your-user ALL=(ALL) NOPASSWD: ALL' > /etc/sudoers.d/your-user
chmod 0440 /etc/sudoers.d/your-user

方案3：使用tmpfs临时挂载 #

若无需持久化修改，可将目标路径挂载为内存文件系统（容器重启后数据丢失）：

securityContext:
  readOnlyRootFilesystem: true
volumes:
- name: sudoers-tmpfs
  tmpfs:
    sizeLimit: 1Mi
containers:
- name: your-container
  volumeMounts:
  - name: sudoers-tmpfs
    mountPath: /etc/sudoers.d/

初始化默认规则可参考方案1的复制步骤。

注意事项 #

• sudoers相关文件必须设置正确权限：所有者为root，权限为0440，否则sudo会拒绝加载。
• 修改主sudoers文件前，建议用visudo -c检查语法，避免配置错误导致sudo失效。

内容的提问来源于stack exchange，提问作者user26241