在Kubernetes中部署带Keyfile认证的MongoDB遇权限问题求助

1. 先创建存储Keyfile的Secret #

首先生成符合MongoDB要求的Keyfile并创建Kubernetes Secret：

# 生成标准MongoDB Keyfile（756字节base64编码）
openssl rand -base64 756 > mongodb-keyfile
# 设置本地文件权限（可选，创建Secret时会保留内容）
chmod 600 mongodb-keyfile
# 创建Kubernetes Secret
kubectl create secret generic mongodb-keyfile --from-file=keyfile=./mongodb-keyfile

2. 完整Kubernetes资源配置 #

apiVersion: apps/v1
kind: StatefulSet
metadata:
  name: mongodb
spec:
  serviceName: mongodb
  replicas: 1
  selector:
    matchLabels:
      app: mongodb
  template:
    metadata:
      labels:
        app: mongodb
    spec:
      # 配置Pod安全上下文，让挂载卷的文件组匹配MongoDB运行用户组（GID 999）
      securityContext:
        fsGroup: 999
      containers:
      - name: mongodb
        image: mongo:4.4
        args:
          - --bind_ip
          - '0.0.0.0,::'
          - --replSet
          - MySetname01
          - --auth
          - --keyFile
          - /data/db/mongodb-keyfile
        env:
        - name: MONGO_INITDB_ROOT_USERNAME
          value: MyUsername
        - name: MONGO_INITDB_ROOT_PASSWORD
          value: MyPassword
        ports:
        - containerPort: 27017
          name: mongodb
        volumeMounts:
        - name: mongodb-persistent-storage
          mountPath: /data/db
        # 直接挂载Secret中的keyfile文件到MongoDB有权限的目录
        - name: mongodb-keyfile
          mountPath: /data/db/mongodb-keyfile
          subPath: keyfile
          readOnly: true
      volumes:
        - name: mongodb-keyfile
          secret:
            name: mongodb-keyfile
            # 设置Secret文件默认权限为0600，符合MongoDB要求
            defaultMode: 0600
  volumeClaimTemplates:
  - metadata:
      name: mongodb-persistent-storage
    spec:
      accessModes: [ "ReadWriteOnce" ]
      resources:
        requests:
          storage: 1Gi
---
apiVersion: v1
kind: Service
metadata:
  name: mongodb
  labels:
    app: mongodb
spec:
  ports:
    - port: 27017
  selector:
    app: mongodb

关键修复点说明 #

• 用Secret替代ConfigMap：Secret的权限控制更适配敏感文件场景，支持直接设置defaultMode: 0600，完全匹配MongoDB对Keyfile的权限要求。
• 挂载到/data/db目录：该目录是MongoDB容器默认拥有权限的目录，避免ConfigMap挂载时的符号链接权限问题。
• 配置fsGroup：通过securityContext.fsGroup: 999，让挂载的Secret文件组匹配MongoDB运行用户组，确保进程能读取Keyfile。
• subPath挂载：直接挂载Secret中的单个文件，而非整个目录，避免目录权限干扰。

初始化副本集（单节点也需执行） #

Pod启动后，进入容器初始化副本集：

kubectl exec -it mongodb-0 -- mongosh -u MyUsername -p MyPassword
rs.initiate()

内容的提问来源于stack exchange，提问作者MarM25