Kubernetes StatefulSet中initContainer复制证书至ElasticSearch失败排查

InitContainer和主容器默认拥有独立的文件系统，不能直接访问对方的文件系统。你手动在主Pod容器中执行命令能成功，是因为操作的是主容器自身的文件系统；而InitContainer的操作仅在它自己的文件系统内生效，主容器自然无法感知。

以下是具体解决思路：

• 通过共享Volume实现文件传递
  定义一个emptyDir（临时存储）或PersistentVolumeClaim（需持久化场景），同时挂载到InitContainer和主Elasticsearch容器的目标路径（如/usr/share/elasticsearch/certs）。这样InitContainer在该路径下创建目录、写入文件的操作，主容器就能通过共享Volume读取到。示例配置片段：

  volumes:
    - name: certs-volume
      emptyDir: {}
  initContainers:
    - name: copy-certs
      image: busybox:latest
      env:
        - name: gd_bundle_g2_g1_crt
          valueFrom:
            secretKeyRef:
              name: your-cert-secret
              key: gd_bundle_g2_g1_crt
      command:
        - sh
        - -c
        - |
          mkdir -p /usr/share/elasticsearch/certs
          echo "$gd_bundle_g2_g1_crt" > /usr/share/elasticsearch/certs/gd_bundle_g2_g1.crt
      volumeMounts:
        - name: certs-volume
          mountPath: /usr/share/elasticsearch/certs
  containers:
    - name: elasticsearch
      image: elasticsearch:xxx
      volumeMounts:
        - name: certs-volume
          mountPath: /usr/share/elasticsearch/certs
  

• 检查InitContainer的执行日志
  执行kubectl logs <pod-name> -c <init-container-name>查看InitContainer的运行日志，确认mkdir和echo命令是否实际执行成功，是否有权限错误、路径拼写错误等问题。比如Elasticsearch镜像中/usr/share/elasticsearch目录默认属于elasticsearch用户（UID 1000），若InitContainer使用root用户执行操作，需在Pod的securityContext中设置fsGroup: 1000，确保共享Volume的权限符合Elasticsearch的读取要求。

• 不要直接操作主容器镜像内的路径
  主容器镜像自带的路径（如/usr/share/elasticsearch/certs）若未挂载Volume，InitContainer的写入操作仅会保存在自身的镜像层中，主容器完全无法访问。通过共享Volume传递文件是Kubernetes容器间共享文件的标准方式。

内容的提问来源于stack exchange，提问作者mj_