OKE集群中Init Container以Root运行却无法Chown挂载卷

问题背景 #

在OCI云平台的OKE集群中，尝试用Init Container修改挂载卷的所属用户（默认属主为root），但执行chown -R 1000:1000 /data时触发错误：chown /data/.snapshot not permitted。已确认Init Container以root用户运行，且配置了相关权限能力，但问题依旧。

Init Container配置如下：

init_container {
   name    = "init-eclipse"
   image   = "busybox:latest"      
   command = [ "chown","-R","1000:1000","/data"]

   security_context {
     run_as_user = "0"
     privileged = "true"
     allow_privilege_escalation = "true"
     read_only_root_filesystem = "false"
     run_as_non_root = "false"
     capabilities {
       add = ["CAP_SYS_ADMIN","CHOWN",
              "FOWNER",
              "DAC_OVERRIDE"]
       drop = ["ALL"]
     }
   }
   volume_mount {
     mount_path = "/data"
     name       = "home-coder-vol-${data.coder_workspace.me.owner}-${lower(data.coder_workspace.me.name)}"
   } 
}   

问题原因 #

/data/.snapshot是OCI Block Volume的系统保留目录，用于存储卷快照数据，该目录的权限由存储后端强制锁定，即使容器内以root用户运行，也无法修改其属主或权限。这是OCI存储层的限制，而非Kubernetes本身的配置问题。其他云平台的卷可能没有这个特殊目录，因此递归chown操作可以正常执行。

解决方案 #

1. 跳过.snapshot目录执行chown #

修改Init Container的命令，使用find工具跳过.snapshot目录，只修改其他文件和目录的权限：

command = ["sh", "-c", "find /data -mindepth 1 -name '.snapshot' -prune -o -exec chown -R 1000:1000 {} +"]

• -mindepth 1：跳过/data目录本身，直接处理子内容
• -name '.snapshot' -prune：遇到.snapshot目录就跳过，不递归处理
• -o -exec chown ...：对其他所有内容执行chown操作

2. 精简权限配置（可选） #

无需同时开启privileged=true和添加过多权限能力，仅保留必要的权限即可，降低安全风险：

security_context {
   run_as_user = "0"
   privileged = "false"
   allow_privilege_escalation = "true"
   read_only_root_filesystem = "false"
   run_as_non_root = "false"
   capabilities {
     add = ["CHOWN", "DAC_OVERRIDE"]
     drop = ["ALL"]
   }
}

3. 验证效果 #

可以在Init Container中添加调试命令，确认权限修改结果：

command = ["sh", "-c", "ls -ld /data/.snapshot && find /data -mindepth 1 -name '.snapshot' -prune -o -exec chown -R 1000:1000 {} + && ls -l /data"]

执行后可以看到.snapshot目录权限未被修改，但其他目录/文件的属主已改为1000:1000。

内容的提问来源于stack exchange，提问作者manu muraleedharan