Kubernetes容器中/dev目录权限疑问：能否设为只读且不可执行？

为什么默认情况下/dev是可写且可执行的？ #

容器运行时（如containerd、Docker）会默认将/dev挂载为tmpfs并设置为可写（rw）、可执行权限，核心原因有两点：

1. 容器进程依赖/dev下的基础设备节点（如/dev/null、/dev/stdin等），部分应用还需要动态创建临时设备节点，可写的/dev能满足这类运行需求。
2. 容器运行时自身需要在/dev目录下生成或维护必要的设备文件，保障容器的正常启动与运行。

另外你看到的/dev/termination-log和/etc/hosts是Kubernetes自动挂载的可写目录：

• /etc/hosts用于Kubernetes动态更新Pod的DNS解析记录；
• /dev/termination-log用于记录容器终止时的日志信息，这两个目录是Kubernetes功能的必要依赖，建议保持可写状态。

能否将/dev设置为只读（ro）且不可执行（noexec）？ #

可以，但需要手动预创建/dev下的基础设备节点，否则容器进程会因缺失必要设备而启动失败。具体实现步骤如下：

1. 修改Pod YAML，通过init容器预生成设备节点

先利用init容器在临时卷中创建容器运行必需的设备节点，再让主容器以只读、不可执行的方式挂载该卷到/dev：

apiVersion: v1
kind: Pod
metadata:
  name: busybox
  labels:
    app: busybox
spec:
  restartPolicy: Never
  volumes:
  - name: dev-volume
    emptyDir:
      medium: Memory  # 用内存tmpfs模拟/dev的原始挂载介质
  initContainers:
  - name: setup-dev
    image: ubuntu:latest
    command: ["/bin/bash", "-c"]
    args:
    - |
      # 创建容器必需的基础设备节点
      mknod /dev/null c 1 3
      mknod /dev/zero c 1 5
      mknod /dev/stdin c 1 0
      mknod /dev/stdout c 1 1
      mknod /dev/stderr c 1 2
      # 设置正确权限，保证进程可访问
      chmod 666 /dev/null /dev/zero /dev/stdin /dev/stdout /dev/stderr
    volumeMounts:
    - name: dev-volume
      mountPath: /dev
  containers:
  - name: ubuntu
    image: ubuntu:latest
    command: [ "/bin/bash", "-c", "--" ]
    args: [ "while true; do sleep 30; done;" ]
    securityContext:
      readOnlyRootFilesystem: true
    volumeMounts:
    - name: dev-volume
      mountPath: /dev
      mountOptions: ["ro", "noexec", "nosuid"]  # 设置只读、不可执行、无suid权限
    ports:
    - containerPort: 80

2. 验证配置效果

启动Pod后进入容器执行挂载查询：

mount | grep /dev

会看到/dev已被挂载为ro,noexec,nosuid状态，且基础设备节点正常可用。

注意事项 #

• 这种配置仅适用于不需要动态创建设备节点的简单场景（如你的sleep循环示例），如果容器运行的应用需要生成新的设备节点，只读的/dev会导致功能异常。
• 不要修改/dev/termination-log和/etc/hosts的挂载属性，否则会影响Kubernetes对Pod的正常管理。

内容的提问来源于stack exchange，提问作者Meir Tolpin