Kind集群访问Persistent Volume时出现Permission denied权限问题

问题核心定位 #

从你的配置和观察来看，核心问题是：

• 容器内挂载的/shared目录权限为drw-rw-rw-——缺少目录必需的执行权限（x位），导致即使有读写权限也无法进入目录、创建/修改文件
• 权限传递经过了宿主机→Kind节点容器→Pod容器三层，某一层的权限配置缺失或未生效

具体解决方案 #

方案1：修复目录执行权限（最直接） #

目录的执行权限（x）是进入目录、操作文件的前提，即使有rw权限也无法替代：

1. 在宿主机上修正共享目录权限：

   chmod o+x /mnt/disk-1/shared
   

   因为该目录挂载到Kind节点容器后权限会同步，宿主机修改后，Kind节点内的/shared-drive权限也会更新为带x位的drwxrwxrwx。

2. 验证Kind节点内的目录权限：

   docker exec -ti cluster-control-plane bash
   ls -ld /shared-drive
   

   确保输出中权限位为drwxrwxrwx（包含x）。

方案2：在PV配置中强制设置挂载权限 #

修改PV的mountOptions，强制指定目录和文件的权限，避免权限传递过程中丢失：

---
# PV
apiVersion: v1
kind: PersistentVolume
metadata:
  name: shared-drive
  namespace: ingress-nginx
spec:
  capacity:
    storage: 100Gi
  accessModes:
   - ReadWriteOnce
  storageClassName: standard
  hostPath:
    path: /shared-drive
  # 添加挂载选项强制权限
  mountOptions:
    - dir_mode=0777  # 目录权限设为rwxrwxrwx
    - file_mode=0666  # 文件权限设为rw-rw-rw-
  persistentVolumeReclaimPolicy: Retain

应用配置后重启Pod：

kubectl apply -f pv.yaml
kubectl rollout restart deployment <你的Deployment名称> -n ingress-nginx

方案3：正确配置Pod级SecurityContext #

之前的securityContext可能位置错误（需放在Pod级而非容器级），调整后让Kubernetes自动同步目录属组权限：

spec:
  # Pod级securityContext，配置fsGroup
  securityContext:
    fsGroup: 999  # 对应容器内appuser的GID
    fsGroupChangePolicy: "Always"  # 强制调整整个挂载目录的权限，而非仅根目录
  containers:
  - name: <你的容器名称>
    # 容器级securityContext
    securityContext:
      runAsUser: 999
      runAsGroup: 999
    ...
    volumeMounts:
    - name: shared-drive
      mountPath: "/shared"

方案4：优化Kind的extraMounts配置 #

在Kind集群配置中，明确指定挂载权限和选项，确保宿主机目录挂载到Kind节点时就带正确权限：

extraMounts:
- hostPath: /mnt/disk-1/shared
  containerPath: /shared-drive
  permissions: "rw"
  mountOptions:
    - dir_mode=0777
    - rw

修改后重新创建Kind集群：

kind delete cluster --name cluster
kind create cluster --config <你的Kind配置文件>

验证步骤 #

1. 进入Pod容器：

   docker exec -ti cluster-control-plane bash
   crictl exec -ti <容器ID> sh
   

2. 检查目录权限：

   ls -ld /shared
   

   确保输出权限为drwxrwxrwx或appuser用户组拥有rwx权限。
3. 测试读写：

   touch /shared/test.txt
   echo "test" > /shared/test.txt
   cat /shared/test.txt
   

   若操作无报错，说明权限问题已解决。

内容的提问来源于stack exchange，提问作者Edmund's Echo