Docker特权容器转K8s Pod失败：卷挂载与脚本执行异常求助

核心问题 #

1. 存储挂载不匹配：你Docker命令里用的--volume test_volume:/mnt是Docker命名卷，但K8s Pod中用hostPath挂载了节点本地的/mnt目录——两者完全独立，所以容器启动时找不到/mnt/somescript.sh（该脚本只在Docker命名卷里，不在节点的/mnt下）。
2. /dev挂载冗余且冲突：K8s特权容器默认会直接使用节点的/dev目录，手动通过hostPath挂载反而可能导致目录结构或权限冲突，影响正常访问。

修正步骤 #

1. 修复/mnt挂载 #

根据你的需求选择以下两种方式之一：

方式一：用K8s持久化存储（推荐，跨节点兼容）

先创建PersistentVolumeClaim（PVC，需提前配置对应StorageClass）：

apiVersion: v1
kind: PersistentVolumeClaim
metadata:
  name: test-volume-pvc
spec:
  accessModes:
    - ReadWriteOnce
  resources:
    requests:
      storage: 1Gi

然后修改PodSpec中的存储配置：

volumes:
- name: testvolume
  persistentVolumeClaim:
    claimName: test-volume-pvc

把Docker命名卷里的somescript.sh迁移到这个PVC对应的存储中即可。

方式二：挂载节点本地/mnt（仅单节点场景使用）

确保目标节点的/mnt目录下存在somescript.sh，并且设置可执行权限：

# 在目标节点执行
cp /path/to/somescript.sh /mnt/
chmod +x /mnt/somescript.sh

同时修改Pod中hostPath的type为DirectoryOrCreate，避免节点没有/mnt目录的情况：

volumes:
- hostPath:
    path: /mnt
    type: DirectoryOrCreate
  name: testvolume

2. 删除冗余的/dev挂载 #

直接移除PodSpec中关于devdata的volume和volumeMounts配置，特权容器会自动访问节点的/dev目录。

修正后的完整PodSpec示例 #

spec:
  automountServiceAccountToken: false
  containers:
    image: test_container:latest
    imagePullPolicy: IfNotPresent
    name: test-container
    resources: {}
    securityContext:
      privileged: true
    volumeMounts:
    - mountPath: "/mnt"
      name: testvolume
  hostNetwork: true
  hostname: test
  imagePullSecrets:
  - name: acr-pull
  nodeName: xxxxxx
  restartPolicy: Always
  volumes:
  # 二选一：使用PVC
  - name: testvolume
    persistentVolumeClaim:
      claimName: test-volume-pvc
  # 或者使用hostPath
  # - hostPath:
  #     path: /mnt
  #     type: DirectoryOrCreate
  #   name: testvolume

额外注意 #

如果somescript.sh是打包在容器镜像里的，那么挂载卷会覆盖镜像中的/mnt目录——这种情况下需要调整挂载路径（比如挂载到/mnt/data），或者把脚本移到镜像的其他目录，避免被挂载卷覆盖。

内容的提问来源于stack exchange，提问作者Jayashree Madanala