如何在Knative服务中挂载SMB共享并读取文件？

问题背景 #

想在Knative函数里读取SMB（smb://）共享文件，试了两种常规方法都踩坑：

1. 用PVC挂载SMB共享被Knative的准入Webhook拒绝；
2. 容器内直接执行mount命令报错权限不足。

踩坑细节 #

方案1：PVC挂载失败

尝试通过PersistentVolume/PersistentVolumeClaim挂载SMB共享，报错信息如下：

for: "service.yaml":
error when patching "service.yaml": admission webhook "validation.webhook.serving.knative.dev" denied the request:
validation failed:
Persistent volume claim support is disabled, but found persistent volume claim pvc-smb:
Persistent volume write support is disabled, but found persistent volume claim pvc-smb that is not read-only:
must not set the field(s): spec.template.spec.volumes[0].persistentVolumeClaim

原因是Knative Serving默认禁用了PVC挂载功能，且官方支持的卷类型里不包含PVC。

方案2：容器内mount失败

在Pod容器里执行挂载命令：

mount -t cifs "//IP/SHARE" "/data" -o "username=debian"

得到报错：

Unable to apply new capability set.

这是因为Knative默认给容器加了严格的权限限制，普通容器没有挂载文件系统的权限。

两种可行解决办法 #

办法1：开启Knative的PVC支持（需集群权限） #

如果有集群管理员权限，可以修改Knative Serving的配置，开启PVC挂载支持：

kubectl patch configmap/config-features -n knative-serving --type merge -p '{"data":{"kubernetes.podspec-persistent-volume-claim":"enabled"}}'

同时要把PVC设置为readOnly: true，避免写入权限相关的报错。注意：开启这个特性会降低部分安全隔离性，需要评估集群风险。

办法2：用用户态SMB客户端（无需改集群配置） #

推荐这种轻量方案，不用动Knative的配置，直接在函数容器里装用户态的SMB客户端（比如smbclient），通过客户端命令读取文件：

1. 构建函数镜像时安装smbclient（以Debian镜像为例）：

FROM debian:bookworm-slim
RUN apt-get update && apt-get install -y smbclient && rm -rf /var/lib/apt/lists/*
COPY ./your-function-code /app
CMD ["python3", "/app/function.py"] # 替换成你的函数入口

2. 在函数代码里调用smbclient读取文件，比如Python里可以用subprocess执行：

import subprocess

def read_smb_file():
    # 从SMB共享拉取文件到本地
    subprocess.run([
        "smbclient", "//IP/SHARE", "-U", "debian", 
        "-c", "get /remote/file/path /local/temp/file"
    ], check=True)
    # 读取本地临时文件内容
    with open("/local/temp/file", "r") as f:
        return f.read()

这种方式不需要提升容器权限，完全符合Knative的默认安全策略。

内容的提问来源于stack exchange，提问作者Валентин Никин