设置容器Spec安全上下文readOnlyRootFilesystem为true后容器启动失败求助

容器设置readOnlyRootFilesystem: true后启动失败，核心原因几乎都是应用或运行时需要向根文件系统的某些路径写入数据，但只读模式禁止了这类操作。以下是具体的排查和修复步骤：

第一步：定位具体报错 #

先通过日志找出到底是哪个路径无法写入，这是最关键的一步：

• Docker环境：

  docker logs <容器ID/容器名称>
  

• Kubernetes环境：

  kubectl logs <Pod名称> -n <目标命名空间>
  

  日志里会明确提示类似Read-only file system: /var/log/app.log或Permission denied: /tmp/cache的信息，记下来这些路径。

第二步：给需要写入的路径挂载可写卷 #

针对日志里提到的路径，通过挂载临时卷（emptyDir/tmpfs）提供可写空间：

Docker示例 #

docker run --read-only \
  -v /tmp:/tmp \  # 挂载主机tmp到容器tmp，提供临时可写空间
  -v /var/log/app:/var/log/app \  # 挂载日志目录
  <你的镜像名称>

Kubernetes Pod配置示例 #

apiVersion: v1
kind: Pod
metadata:
  name: your-app-pod
spec:
  containers:
  - name: your-app-container
    image: your-app-image
    securityContext:
      readOnlyRootFilesystem: true
    volumeMounts:
    - name: tmp-volume
      mountPath: /tmp  # 对应日志里的临时文件路径
    - name: log-volume
      mountPath: /var/log/app  # 对应日志里的日志路径
  volumes:
  - name: tmp-volume
    emptyDir: {}  # 临时卷，Pod删除后数据丢失
  - name: log-volume
    emptyDir: {}

第三步：调整应用配置减少根文件系统写入 #

如果有些写入可以通过配置避免，优先调整：

• 把日志输出到标准输出（stdout），容器日志系统会自动收集这些输出
• 修改应用的缓存、临时文件存储路径到已经挂载可写卷的目录（比如/tmp）
• 对于编译型语言，确保依赖包已经提前打包进镜像，避免启动时动态安装写入根目录

第四步：验证修复效果 #

启动容器后，进入容器验证路径是否可写：

# Docker环境
docker exec -it <容器ID> bash
# Kubernetes环境
kubectl exec -it <Pod名称> -n <命名空间> -- bash

# 测试写入
touch /tmp/test-write && echo "路径可写" || echo "路径不可写"

内容的提问来源于stack exchange，提问作者Surendra Kumar G P