Kubernetes Alpine Pod挂载NFS目录提示权限拒绝问题排查

问题根源：Pod的SecurityContext限制 #

导致挂载失败的核心组件是Kubernetes的SecurityContext，默认情况下它会严格限制容器的特权操作：

• 即使你在容器内切换到root用户，容器本身处于非特权模式，没有执行挂载文件系统所需的CAP_SYS_ADMIN系统能力——这是Linux内核要求的挂载操作必备权限，K8s默认会剥夺容器的这类敏感能力。
• ping操作仅需要网络权限，不需要系统特权，所以能正常执行，但NFS挂载属于特权操作，会被SecurityContext拦截。

验证与解决步骤 #

1. 修改Pod的SecurityContext配置
   要让容器能执行NFS挂载，需要给容器添加特权权限或所需的系统能力，修改Pod的YAML配置：

   apiVersion: v1
   kind: Pod
   metadata:
     name: alpine-nfs-test
   spec:
     containers:
     - name: alpine
       image: alpine:latest
       command: ["sleep", "3600"]
       # 方案1：直接开启特权模式（权限较大，适合测试）
       securityContext:
         privileged: true
       # 方案2：仅添加挂载所需的SYS_ADMIN能力（更精细的权限控制）
       # securityContext:
       #   capabilities:
       #     add: ["SYS_ADMIN"]
       volumeMounts:
       - name: mnt-nfs
         mountPath: /mnt/nfs
     volumes:
     - name: mnt-nfs
       emptyDir: {}
   

   应用配置后重新进入Pod，再执行挂载命令即可成功。

2. 额外检查点

   • 确认NFS服务器的/etc/exports配置是否有笔误：你提供的配置是srv/nfs *(rw,sync,no_root_squash)，正确路径应该是/srv/nfs *(rw,sync,no_root_squash)（开头的斜杠），不过既然VM能正常挂载，大概率是输入时的疏漏。
   • Windows Docker Desktop环境下，确保Docker的Kubernetes集群没有额外的安全策略（比如seccomp配置）限制容器特权操作，默认配置下开启上述SecurityContext即可生效。

内容的提问来源于stack exchange，提问作者Robert Crowder