如何将PVC挂载到Nginx Ingress控制器Deployment并禁止写入日志配置？

要实现PVC挂载后仅允许读取静态文件、禁止写入日志和配置，需要从挂载权限控制和Nginx配置调整两方面入手，具体步骤如下：

1. 将PVC以只读模式挂载到Nginx Ingress Controller #

在Deployment的volumeMounts中添加readOnly: true参数，确保Pod对PVC只有读取权限。同时要注意挂载路径必须是Nginx用于存放静态资源的目录（比如默认的/usr/share/nginx/html），不要挂载到日志、配置等需要写入的目录。

示例Deployment片段：

apiVersion: apps/v1
kind: Deployment
metadata:
  name: nginx-ingress-controller
  # 其他元数据...
spec:
  template:
    spec:
      volumes:
        - name: static-files-pvc
          persistentVolumeClaim:
            claimName: your-pvc-name  # 替换为你的PVC名称
      containers:
        - name: nginx-ingress-controller
          # 其他容器配置...
          volumeMounts:
            - name: static-files-pvc
              mountPath: /usr/share/nginx/html  # 静态文件目录
              readOnly: true  # 开启只读权限

2. 调整Nginx日志输出，避免写入PVC #

默认情况下Nginx会将日志写入本地文件，如果你之前的挂载路径覆盖了日志目录（比如/var/log/nginx），就会导致日志写入PVC。需要修改Nginx配置，将日志输出到标准输出/标准错误，由Kubernetes统一收集，而不是写入文件。

修改nginx.conf中的日志配置：

http {
  # 其他配置...
  access_log /dev/stdout;
  error_log /dev/stderr;
}

如果使用的是Ingress Controller的自定义配置，可以通过ConfigMap注入这个配置，避免直接修改容器内的文件。

3. 隔离Nginx配置文件存储路径 #

确保Nginx的配置文件（默认路径/etc/nginx）不与PVC挂载路径重叠。如果你的Ingress Controller使用ConfigMap管理配置，直接保持默认路径即可；如果需要自定义配置，将ConfigMap挂载到/etc/nginx/conf.d等子目录，不要覆盖整个/etc/nginx目录，更不要将配置目录指向PVC。

验证效果 #

部署修改后的Deployment后，进入Pod执行以下命令检查：

• 尝试在PVC挂载目录创建文件：touch /usr/share/nginx/html/test.txt，应该提示Permission denied
• 查看日志路径：ls -l /var/log/nginx，确认日志文件指向/dev/stdout或/dev/stderr
• 检查配置文件目录：确保/etc/nginx下的文件可正常修改（由ConfigMap或容器默认提供），但不会写入到PVC

内容的提问来源于stack exchange，提问作者user21050133