Azure Red Hat Openshift中Fluent-bit读取容器日志权限报错求助

问题重现 #

DaemonSet启动正常，但Fluent-bit日志持续出现权限错误：

[2022/08/24 15:33:56] [ warn] [input:tail:tail.0] error scanning path: /var/log/containers/*.log
[2022/08/24 15:34:56] [error] [input:tail:tail.0] read error, check permissions: /var/log/containers/*.log

环境：OpenShift 4.10.15，Fluent-bit 1.9.7

核心原因与解决步骤 #

1. 完整挂载日志相关目录 #

/var/log/containers下的日志文件是指向/var/log/pods目录的软链接，仅挂载前者会导致Fluent-bit无法解析实际文件路径，进而触发权限类报错。需同时挂载两个目录：
在Helm values.yaml中添加：

volumeMounts:
  - name: varlogcontainers
    mountPath: /var/log/containers
    readOnly: true
  - name: varlogpods
    mountPath: /var/log/pods
    readOnly: true

volumes:
  - name: varlogcontainers
    hostPath:
      path: /var/log/containers
  - name: varlogpods
    hostPath:
      path: /var/log/pods

2. 配置匹配的SecurityContext #

节点上/var/log目录下的文件/目录默认属于root:root，需让Fluent-bit容器以root用户运行（或确保用户组匹配）：

securityContext:
  runAsUser: 0
  runAsGroup: 0
  fsGroup: 0
  privileged: false

避免直接使用privileged SCC，过度权限反而可能引发SELinux或OpenShift安全策略冲突。

3. 绑定适配的SCC #

创建专属SCC以允许hostPath挂载和灵活的用户权限：

apiVersion: security.openshift.io/v1
kind: SecurityContextConstraints
metadata:
  name: fluent-bit-scc
allowHostDirVolumePlugin: true
allowPrivilegedContainer: false
runAsUser:
  type: RunAsAny
seLinuxContext:
  type: RunAsAny
fsGroup:
  type: RunAsAny
supplementalGroups:
  type: RunAsAny
volumes:
- hostPath
- secret
- configMap

将该SCC绑定到Fluent-bit使用的ServiceAccount：

oc adm policy add-scc-to-user fluent-bit-scc -z fluent-bit -n <your-namespace>

4. 验证SELinux上下文 #

如果仍有问题，检查主机目录的SELinux标签是否允许容器访问。可临时添加hostaccess SCC进行测试：

oc adm policy add-scc-to-user hostaccess -z fluent-bit -n <your-namespace>

若问题解决，可在自定义SCC中明确配置SELinux策略，避免依赖hostaccess的过度权限。

5. 手动验证挂载与权限 #

进入Fluent-bit容器，手动检查目录权限并测试读取：

oc exec -it <fluent-bit-pod-name> -n <your-namespace> -- ls -ld /var/log/containers /var/log/pods
oc exec -it <fluent-bit-pod-name> -n <your-namespace> -- cat /var/log/containers/<sample-pod>.log

如果手动读取正常，说明配置已生效，Fluent-bit的tail输入模块会自动恢复日志采集。

内容的提问来源于stack exchange，提问作者Konstantin GidMaster Syrovatsk