GCP Kubernetes配置非Root用户写入文件存储失败求助

你配置的securityContext本身语法正确，但非Root用户无法写入Filestore通常是因为NFS存储的权限由服务器端控制，K8s的fsGroup无法自动修改Filestore共享目录的权限。以下是具体解决步骤：

1. 检查并修正Filestore共享目录的权限 #

Filestore是NFS服务，挂载目录的权限由Filestore实例本身控制，需要先确保用户ID 1000/组ID 1000拥有写入权限：

• 启动一台可以访问Filestore的GCE虚拟机，挂载Filestore共享：

  mount -t nfs <你的Filestore实例IP>:/<共享名称> /mnt/filestore
  

• 查看目录权限：

  ls -ld /mnt/filestore
  

• 如果权限不匹配，修改目录所属用户和组：

  chown -R 1000:1000 /mnt/filestore
  

  或者放宽组写入权限（如果需要多个用户共享）：

  chmod -R 775 /mnt/filestore
  

2. 优化Kubernetes挂载配置 #

方式一：通过挂载选项强制指定UID/GID #

如果无法修改Filestore端的权限，可以在PV或StorageClass中添加NFS挂载选项，强制将挂载目录的UID/GID映射为1000：

apiVersion: v1
kind: PersistentVolume
metadata:
  name: filestore-pv
spec:
  capacity:
    storage: 1Ti
  accessModes:
    - ReadWriteMany
  nfs:
    server: <你的Filestore实例IP>
    path: /<共享名称>
    readOnly: false
  mountOptions:
    - uid=1000
    - gid=1000

方式二：使用Filestore CSI驱动的StorageClass配置 #

如果使用GKE的Filestore CSI驱动，可在StorageClass中指定挂载参数：

apiVersion: storage.k8s.io/v1
kind: StorageClass
metadata:
  name: filestore-sc
provisioner: filestore.csi.storage.gke.io
parameters:
  tier: standard
  shareName: myshare
mountOptions:
  - uid=1000
  - gid=1000

3. 验证Pod内的权限 #

配置完成后，进入Pod验证权限是否生效：

• 进入Pod：

  kubectl exec -it <你的Pod名称> -- /bin/bash
  

• 确认当前用户身份：

  id
  

  应输出uid=1000 gid=1000
• 尝试写入文件：

  touch /<挂载路径>/test.txt
  

  若没有报错则权限配置成功。

4. 排查其他潜在问题 #

• 确认K8s集群节点的防火墙规则允许访问Filestore的NFS端口（2049）
• 检查节点服务账号是否拥有Filestore的访问权限（GKE默认节点账号已具备该权限）
• 确保Pod的securityContext中未设置readOnlyRootFilesystem: true（会阻止写入挂载目录）

内容的提问来源于stack exchange，提问作者Chetan Chavan