为K8S Pod添加安全属性执行nsenter遇权限拒绝问题求助

先排查以下几个常见原因，不一定是SELinux系统调用的问题：

• 检查脚本本身的执行权限
  首先确认/tmp/test.sh是否拥有执行权限，执行以下命令查看：

  kubectl exec <你的Pod名称> -- ls -l /tmp/test.sh
  

  如果输出中没有x权限位，执行命令添加执行权限：

  kubectl exec <你的Pod名称> -- chmod +x /tmp/test.sh
  

• 检查/tmp目录的权限设置
  部分镜像的/tmp目录权限可能过于严格，导致非目录所有者无法执行其中的脚本。查看目录权限：

  kubectl exec <你的Pod名称> -- ls -ld /tmp
  

  正常的临时目录权限应为drwxrwxrwt，如果不是，可调整为：

  kubectl exec <你的Pod名称> -- chmod 1777 /tmp
  

• 排查SELinux限制（若上述步骤无效）
  如果前面的操作都无法解决问题，再考虑SELinux的影响：

  1. 临时关闭节点的SELinux测试（仅用于验证）：

     setenforce 0
     

     若问题消失，说明是SELinux规则限制。
  2. 给脚本设置适配容器的SELinux上下文：

     kubectl exec <你的Pod名称> -- chcon -t container_file_t /tmp/test.sh
     

  3. 或者在Pod的安全上下文中明确指定SELinux类型（适合长期配置）：

     securityContext:
       privileged: true
       runAsUser: 1000
       seLinuxOptions:
         type: spc_t
     

     注：spc_t是允许特权容器的SELinux类型，可根据实际环境调整。

• 验证nsenter自身的权限
  检查nsenter二进制文件的权限是否正常：

  kubectl exec <你的Pod名称> -- ls -l $(which nsenter)
  

  正常情况下应为root用户拥有且带有setuid位（如-rwsr-xr-x），若权限异常，可重新安装或调整权限。

内容的提问来源于stack exchange，提问作者dev-lop