在Kubernetes/OpenShift上启动Spring Cloud Dataflow任务失败

你遇到的核心问题是：Spring Cloud Data Flow（SCDF）自身部署通过禁用安全上下文适配了OpenShift，但SCDF启动任务时创建的Pod仍沿用了镜像自带的安全上下文配置（如固定UID 1001），而OpenShift的安全上下文约束（SCC）要求UID必须落在集群指定的范围（如[1001230000, 1001239999]），同时SCDF使用的ServiceAccount没有权限使用允许自定义UID的SCC。

以下是具体解决步骤：

1. 确认SCDF使用的ServiceAccount #

首先找到SCDF Server部署所使用的ServiceAccount：

# 查看SCDF Server Pod名称
oc get pods -n my-ns | grep scdf-server

# 查看该Pod关联的ServiceAccount
oc describe pod <scdf-server-pod-name> -n my-ns | grep ServiceAccount

2. 为ServiceAccount绑定允许自定义UID的SCC #

OpenShift中，anyuid SCC允许Pod使用任意UID（包括镜像自带的UID或集群分配的UID），将其绑定到SCDF的ServiceAccount即可解决权限问题：

oc adm policy add-scc-to-user anyuid -z <scdf-serviceaccount-name> -n my-ns

3. 配置SCDF部署属性适配OpenShift（可选） #

如果不想使用anyuid SCC，也可以通过SCDF的部署属性强制任务Pod使用符合OpenShift要求的UID/GID，同时禁用镜像自带的安全上下文：
在Bitnami Helm Chart的自定义values.yaml中添加以下配置：

server:
  config:
    spring:
      cloud:
        deployer:
          kubernetes:
            # 禁用任务Pod的Pod级安全上下文
            pod-security-context:
              enabled: false
            # 禁用任务容器的安全上下文
            container-security-context:
              enabled: false
            # 或者指定符合OpenShift范围的UID/GID（二选一即可）
            # pod-security-context:
            #   run-as-user: 1001230001
            #   fs-group: 1001230001
            # container-security-context:
            #   run-as-user: 1001230001

更新Helm部署：

helm upgrade scdf bitnami/spring-cloud-dataflow -n my-ns -f custom-values.yaml

4. 验证解决方案 #

重启SCDF Server后，重新注册并启动任务应用，检查Pod是否能正常创建运行。

内容的提问来源于stack exchange，提问作者Jochen Reinhardt