如何通过Kubernetes特权Pod在宿主机安装RPM包？

可以实现，但默认特权Pod因文件系统隔离，直接执行rpm -i只会将包安装在Pod内部。要在宿主机上完成安装，需将宿主机的根文件系统挂载到Pod中，具体操作如下：

1. 创建挂载宿主机根文件系统的特权Pod #

使用以下YAML配置创建Pod，它会挂载宿主机根目录并以特权模式运行：

apiVersion: v1
kind: Pod
metadata:
  name: privileged-host-installer
spec:
  hostPID: true
  hostNetwork: true
  containers:
  - name: installer
    image: centos:7 # 请替换为与宿主机OS匹配的镜像，例如rockylinux:8、fedora:38等
    command: ["sleep", "infinity"]
    securityContext:
      privileged: true
    volumeMounts:
    - name: host-root
      mountPath: /host
  volumes:
  - name: host-root
    hostPath:
      path: /
      type: Directory

执行创建命令：kubectl apply -f <pod-config.yaml>

2. 进入Pod并切换到宿主机根文件系统 #

• 进入Pod终端：

  kubectl exec -it privileged-host-installer -- bash
  

• 通过chroot切换到宿主机的根文件系统：

  chroot /host
  

3. 在宿主机环境安装RPM包 #

此时执行的命令都会作用于宿主机系统，直接运行RPM安装命令即可：

rpm -i /path/to/your/package.rpm

注：如果RPM包不在宿主机上，可先通过kubectl cp将包传到Pod中，再复制到/host目录下的对应路径，例如：

kubectl cp local/package.rpm privileged-host-installer:/host/tmp/package.rpm

之后在chroot环境中执行rpm -i /tmp/package.rpm

注意事项 #

• 必须开启privileged: true权限，否则无法挂载宿主机根文件系统和执行chroot操作
• 镜像操作系统版本需与宿主机尽量一致，避免RPM依赖或版本冲突问题
• 该操作风险极高，可能导致宿主机系统损坏，操作前务必做好数据备份
• 安装完成后请立即删除Pod，消除安全隐患：kubectl delete pod privileged-host-installer

内容的提问来源于stack exchange，提问作者Lorenzo Bassi