Kubernetes中PostgreSQL容器POSTGRES_PASSWORD环境变量不生效问题

核心原因分析 #

你的问题主要来自两个常见场景：

1. PostgreSQL镜像仅在首次启动且PGDATA目录为空时执行初始化逻辑（创建用户、设置密码），后续修改环境变量不会覆盖已有数据。
2. 默认的pg_hba.conf配置允许本地（容器内）连接使用无密码认证策略（trust/peer）。

具体修复步骤 #

1. 重置容器，让密码配置生效 #

如果你的Pod已经启动过（哪怕没有持久化存储），PGDATA目录已有初始化数据，此时修改POSTGRES_PASSWORD不会生效。需要重建Pod触发初始化：

kubectl delete pod [POD_NAME]

Deployment会自动重建新Pod，新Pod的PGDATA为空，会执行初始化脚本，设置你指定的密码。

2. 修改认证策略，强制本地连接验证密码 #

PostgreSQL默认允许本地连接无密码登录，需要修改pg_hba.conf强制密码验证：

步骤1：创建自定义pg_hba.conf文件

# 本地TCP连接要求密码认证
host    all             all             127.0.0.1/32            scram-sha-256
host    all             all             ::1/128                 scram-sha-256
# 外部连接要求密码认证（按需调整）
host    all             all             0.0.0.0/0               scram-sha-256
# 本地Unix套接字连接也要求密码
local   all             all                                     scram-sha-256

步骤2：将文件转为ConfigMap

kubectl create configmap postgres-hba --from-file=pg-hba.conf

步骤3：修改Deployment挂载ConfigMap

在你的Deployment YAML中添加挂载配置：

apiVersion: apps/v1    
kind: Deployment
metadata:
  name: example-postgres
  labels:
    app: example-app
spec:
  replicas: 1
  selector:
    matchLabels:
      app: example-app
      tier: postgres
  template:
    metadata:
      labels:
        app: example-app
        tier: postgres
    spec:
      containers:
        - image: postgres
          name: postgres
          env:
            - name: POSTGRES_DB
              value: postgres
            - name: POSTGRES_USER
              value: user
            - name: POSTGRES_PASSWORD
              value: user
            - name: PGDATA
              value: /var/lib/postgresql/data/pgdata
          ports:
            - containerPort: 5432
              name: postgres
          # 添加挂载配置
          volumeMounts:
            - name: postgres-hba-config
              mountPath: /var/lib/postgresql/data/pg_hba.conf
              subPath: pg_hba.conf
      # 添加ConfigMap卷
      volumes:
        - name: postgres-hba-config
          configMap:
            name: postgres-hba

步骤4：重新部署

kubectl apply -f your-deployment-file.yaml

3. 验证修复效果 #

执行连接命令，此时会强制要求输入密码：

kubectl exec [POD_NAME] -- psql -h localhost -U user --password -p 5432 postgres

输入你设置的user密码即可登录，不输入则无法访问。

额外建议 #

为避免Pod重建丢失数据，建议添加持久化存储（PersistentVolumeClaim），在Deployment的Pod模板中挂载：

# 在containers下添加
volumeMounts:
  - name: postgres-storage
    mountPath: /var/lib/postgresql/data
# 在spec下添加volumes
volumes:
  - name: postgres-storage
    persistentVolumeClaim:
      claimName: postgres-pvc

（需提前创建对应的PersistentVolumeClaim）

内容的提问来源于stack exchange，提问作者Artem