K8s通过Helm部署Bitnami Grafana遇NFS权限问题，求最小权限配置

问题分析 #

Pod日志反复出现mkdir: cannot create directory '/opt/bitnami/grafana/data/plugins': Permission denied，核心原因是NFS服务器上的/data/k8s/reddwarf-monitor/grafana目录属主为root:root，而Bitnami Grafana容器默认以**非root用户（UID/GID通常为1001）**运行，该用户对root属主的目录无写入权限。

最小权限配置步骤 #

1. 确认容器运行用户的UID/GID
   执行以下命令查看Bitnami Grafana镜像的运行用户信息：

   docker inspect bitnami/grafana | grep -E "Uid|Gid"
   

   输出通常为"Uid": 1001, "Gid": 1001。

2. 修改NFS服务器上的目录权限
   直接将NFS目录的属主改为容器运行用户的UID/GID（最小权限原则，避免过度放宽目录权限）：

   chown 1001:1001 /data/k8s/reddwarf-monitor/grafana
   

   若无法修改属主（如NFS服务器权限限制），可临时放宽目录权限为775（确保容器用户所在组有写入权限）：

   chmod 775 /data/k8s/reddwarf-monitor/grafana
   

3. 验证权限修改
   执行以下命令确认权限生效：

   ll /data/k8s/reddwarf-monitor/grafana
   

   预期输出应为：

   drwxr-xr-x 2 1001 1001 4096 Aug 15 21:35 grafana
   

4. 重启Grafana Pod
   让Pod重新挂载NFS目录并应用新权限：

   kubectl rollout restart deployment <你的Grafana Deployment名称>
   

原理说明 #

Bitnami容器遵循安全最佳实践，默认以非root用户运行，因此挂载的存储目录必须对该用户开放**读写执行（rwx）**权限，才能创建子目录和写入数据。直接匹配属主是最符合最小权限原则的解决方案。

内容的提问来源于stack exchange，提问作者Dolphin