使用kubectl exec进入Kubernetes Pod后，进程如何识别操作用户？

默认情况下，Pod 内的进程无法直接识别发起 kubectl exec 操作的外部用户身份，具体说明如下：

• kubectl exec 的执行逻辑是：客户端请求经 kube-apiserver 转发到目标节点的 kubelet，由 kubelet 在容器内启动新进程。这个进程的运行身份由容器镜像的配置决定（比如 root 或镜像指定的非特权用户），和发起 exec 操作的外部用户完全无关。容器内进程只能看到自身的 UID/GID，无法获取外部用户的任何信息。
• Kubernetes 仅在 API 层面对发起 kubectl exec 的用户做认证授权（验证该用户是否有执行 exec 的权限），但这些身份信息不会被传递到容器内部的进程上下文里，kube-apiserver 完成权限校验后就直接转发请求，不会向容器注入用户身份数据。

如果需要让容器内进程知晓外部发起用户的身份，只能通过定制化手段实现：

• 手动传递：执行 kubectl exec 时显式传入用户信息，比如 kubectl exec <pod-name> -- env EXTERNAL_USER=alice bash，容器内的进程可通过环境变量读取该信息。
• 集群改造：通过自定义准入控制器或 webhook，在处理 exec 请求时将用户身份注入到容器的环境变量或指定文件中，但这不属于 Kubernetes 的默认功能，需要额外开发配置。

内容的提问来源于stack exchange，提问作者Fabian Schmied