Kubernetes fsGroup配置不生效：非Root Pod挂载卷权限被拒求助

问题 #

使用fsGroup SecurityContext选项（设置为0）将NFS卷挂载到以非Root用户（UID 1001，归属GID 0组）运行的Pod后，卷仍以root权限挂载，Pod执行写入操作时提示权限拒绝。

相关配置 #

Persistent Volume #

kind: PersistentVolume
apiVersion: v1
metadata:
  name: pv-demo
spec:
  storageClassName: nfs
  capacity:
    storage: 10Gi
  nfs:
    server: xxx.xxx.xxx.xxx
    path: /nfs/data/demo
  accessModes:
    - ReadWriteOnce
  persistentVolumeReclaimPolicy: Retain
  volumeMode: Filesystem

Persistent Volume Claim #

apiVersion: v1
kind: PersistentVolumeClaim
metadata:
  name: demo-vol
spec:
  storageClassName: nfs
  accessModes:
    - ReadWriteOnce
  resources:
    requests:
      storage: 10Gi
  volumeName: pv-demo

StatefulSet（已修正语法错误） #

容器镜像以UID 1001用户启动，该用户归属GID 0组

apiVersion: apps/v1
kind: StatefulSet
metadata:
  name: demo-app
  labels:
    app: demo-app
spec:
  replicas: 1
  serviceName: demo-app
  selector:
    matchLabels:
      app: demo-app
  template:
    spec:
      securityContext:
        fsGroup: 0
        fsGroupChangePolicy: "OnRootMismatch"
      containers:
      - name: demo-app-container
        image: <theImage>
        volumeMounts:
            - mountPath: /store
              name: demo-vol
      volumes:
        - name: demo-vol
          persistentVolumeClaim:
            claimName: demo-vol

解决步骤 #

1. 修正StatefulSet配置错误
   原配置中selector字段直接嵌套spec属于语法错误，正确结构应为spec.template.spec，这个错误会导致Kubernetes无法识别SecurityContext设置，需先修正。

2. 调整NFS服务器端目录权限
   NFS卷的权限控制核心在服务器端，Kubernetes的fsGroup要生效，必须保证NFS共享目录的组ID为0，且组具备读写权限：
   登录NFS服务器执行以下命令：

# 将目录组归属设置为root组（GID 0）
chgrp 0 /nfs/data/demo
# 给组添加读写权限
chmod g+rw /nfs/data/demo

如果需要更开放的权限，也可执行chmod 775 /nfs/data/demo（root用户读写执行，组用户读写，其他用户读执行）。

3. 调整权限同步策略（可选）
   如果卷内已有大量文件，OnRootMismatch仅会修改根目录权限，不会递归同步子文件权限。若需要全量同步，将fsGroupChangePolicy改为Always：

securityContext:
  fsGroup: 0
  fsGroupChangePolicy: "Always"

注意：该设置会在Pod启动时递归修改卷内所有文件权限，文件量较大时会延长Pod启动时间，按需使用。

4. 验证容器用户组配置
   进入容器确认UID 1001用户确实归属GID 0组：

id 1001

输出内容需包含gid=0(root)或groups=0(root)，确保用户组配置无误。

内容的提问来源于stack exchange，提问作者Hitesh Bajaj