.NET 6.0-22升级后在OpenShift创建Mutex抛出IO异常求助

问题背景 #

运行在OpenShift（RHEL）上的.NET WebApi应用，采用RedHat镜像的source2image（S2I）构建流程。升级到.NET 6.0-22版本后，调用GitService.AddSchedule()方法创建Mutex时，抛出System.IO.IOException: 系统无法打开指定的设备或文件。排查发现/tmp/.dotnet/shm目录下存在无权限访问的会话文件夹，是触发错误的直接原因。目前临时解决办法是在源码库添加.s2i/bin/assemble文件清理该目录，现寻求根本修复方案。

根本原因 #

.NET 6.0-22版本调整了共享内存（shm）目录的管理逻辑：S2I构建阶段通常使用高权限用户（如root）创建/tmp/.dotnet/shm下的会话目录，但OpenShift运行阶段默认使用随机UID的受限用户，导致运行时无法访问这些预创建的目录，最终在创建Mutex时触发权限异常。

根本解决方案 #

1. 配置.NET Runtime的共享目录权限 #

在源码库的.s2i/environment文件中添加环境变量，强制.NET Runtime创建共享内存目录时开放全局权限：

DOTNET_SHM_DIR_PERMISSIONS=777

该变量会让Runtime在生成/tmp/.dotnet/shm下的会话目录时，设置777权限，确保运行阶段的受限用户能正常访问。

2. 统一构建与运行阶段的用户权限 #

调整OpenShift Deployment的Security Context，让容器运行时使用与S2I构建阶段一致的用户UID：

spec:
  template:
    spec:
      securityContext:
        runAsUser: 1000
        fsGroup: 1000

注：1000需替换为S2I构建镜像中指定的用户UID，可通过查看镜像的USER指令确认具体值。

3. 自定义S2I基础镜像预设目录权限 #

如果官方镜像无法满足需求，基于RedHat .NET 6.0-22镜像构建自定义S2I镜像，提前设置/tmp/.dotnet/shm的权限：

FROM registry.redhat.io/rhel8/dotnet-60:6.0-22
RUN mkdir -p /tmp/.dotnet/shm && chmod -R 777 /tmp/.dotnet/shm

之后用这个自定义镜像作为S2I构建的基础镜像即可。

验证步骤 #

1. 部署修复后的应用，进入容器执行ls -ld /tmp/.dotnet/shm/*，确认目录权限包含运行用户的读写权限
2. 触发GitService.AddSchedule()方法，验证不再抛出IOException

内容的提问来源于stack exchange，提问作者Marko