K8s部署Bitnami Kafka遇权限问题：Pod CrashLoopBackOff

问题根源 #

Bitnami官方的Kafka镜像默认使用**非root用户（UID=1001）**运行，而你配置的HostPath目录/data/kafka-data在宿主机上默认是root权限，容器内的1001用户没有读写权限，导致启动时无法创建/bitnami/config子目录，触发mkdir: cannot create directory ‘/bitnami/config’: Permission denied错误，最终Pod进入CrashLoopBackOff状态。

解决方法 #

方法一：手动修改宿主机目录权限 #

在Kafka Pod所在的宿主机节点上执行以下命令，将HostPath目录的所有者改为容器运行用户：

chown -R 1001:1001 /data/kafka-data

执行完成后，重启Kafka Pod即可恢复正常。

方法二：配置Deployment安全上下文（推荐） #

通过在Deployment中添加securityContext，让Kubernetes自动适配挂载卷的权限，无需手动修改宿主机目录。修改后的完整配置如下：

apiVersion: apps/v1
kind: Deployment
metadata:
  labels:
    app: kafka-broker
  name: kafka-broker
  namespace: kafka
spec:
  replicas: 1
  selector:
    matchLabels:
      app: kafka-broker
  template:
    metadata:
      labels:
        app: kafka-broker
    spec:
      # Pod级安全上下文：设置fsGroup自动调整卷权限
      securityContext:
        fsGroup: 1001
      containers:
      - env:
        - name: ALLOW_PLAINTEXT_LISTENER
          value: "yes"
        - name: KAFKA_BROKER_ID
          value: "1"
        - name: KAFKA_ZOOKEEPER_CONNECT
          value: zookeeper-service:2181
        - name: KAFKA_LISTENERS
          value: PLAINTEXT://:9092
        - name: KAFKA_ADVERTISED_LISTENERS
          value: PLAINTEXT://:9092
        image: bitnami/kafka
        imagePullPolicy: IfNotPresent
        name: kafka-broker
        ports:
        - containerPort: 9092
        volumeMounts:
        - name: kafka-data
          readOnly: false
          mountPath: "/bitnami/kafka"
      volumes:
      - name: kafka-data
        hostPath:
          path: /data/kafka-data

配置说明

• fsGroup: 1001：Kubernetes会自动将挂载卷的目录权限设置为GID=1001，容器内的运行用户属于该组，因此拥有读写权限。
• 也可以给容器单独添加securityContext指定运行用户，但fsGroup的方式更灵活，无需关注容器内用户的具体UID。

内容的提问来源于stack exchange，提问作者mona moghadampanah