如何用kubectl debug查看容器进程？runAsNonRoot导致挂起的解决办法

原因确认 #

是的，命令挂起正是由runAsNonRoot: true配置导致的。

Busybox镜像默认以root用户（UID 0）启动，而你的Pod级securityContext强制要求容器以非root用户运行。kubelet启动临时debug容器时，会尝试用非root用户启动Busybox，但Busybox的默认启动命令sh在非root用户下可能因权限不足（比如无法访问终端资源）导致容器初始化失败，进而出现挂起、无命令提示符的情况。

解决办法 #

提供几种实用方案：

• 指定非root用户启动debug容器
  在kubectl debug命令中添加--as-user参数，指定合法的非root用户UID（例如1000，多数镜像都包含该UID的用户）：

  kubectl debug pod-name -c my-new-container --image=busybox -it --as-user=1000 -- sh
  

• 换用支持非root运行的镜像
  使用默认以非root用户启动的镜像（如alpine，默认UID为1000）：

  kubectl debug pod-name -c my-new-container --image=alpine -it -- sh
  

• 直接在原容器执行命令（若原容器有ps工具）
  如果业务容器本身自带ps命令，无需启动新容器，直接用kubectl exec查看进程：

  kubectl exec pod-name -it -- ps aux
  

• 临时修改Pod安全配置（不推荐生产环境）
  若仅临时调试，可先将Deployment的runAsNonRoot设为false，重新部署Pod后执行debug命令，调试完成后恢复原配置。该方法会影响业务容器运行，生产环境慎用。

内容的提问来源于stack exchange，提问作者Vahid