非root用户K8s Pod生成0字节Core Dump问题及解决咨询

问题背景 #

非Root用户运行的Kubernetes Pod中，进程崩溃后生成的Core Dump文件大小为0字节；切换为Root用户（runAsUser: 0）运行Pod时，Core Dump生成正常。节点已通过hostPath挂载/proc，相关内核参数配置如下：

[root@ip-xx-xx-xx-xx /]# cat /proc/sys/kernel/core_pattern 
/tmp/%h.%t.core

[root@ip-xx-xx-xx-xx /]# cat /proc/sys/fs/suid_dumpable
2

非Root用户可正常读写容器内的/tmp目录，但执行kill -6触发Core Dump时，生成的文件为空且属主为Root：

-rw-------. 1 root root         0 Aug 11 17:26 app1-cluster1.core.8

Root用户运行时则生成完整大小的Core Dump：

-rw-------. 1 root root 219246592 Aug 11 18:12 app1-cluster1.core.8

原因分析 #

核心冲突在于内核写入Core Dump的身份与容器内非Root用户的权限隔离：

• 内核以Host的Root身份写入Core Dump，但容器内的文件系统属于独立用户命名空间，Host Root在容器内的权限被限制，仅能创建空文件却无法写入实际内容。
• 尽管fs.suid_dumpable=2允许所有进程生成Core Dump，但容器的安全上下文进一步限制了内核写入操作的完整性。

可行解决办法 #

1. 配置共享存储目录并调整权限 #

• 放弃容器默认/tmp，改用hostPath或PersistentVolume挂载共享目录（如/var/coredumps）到Pod内。
• 在Host上预先设置目录权限，确保容器非Root用户可读写：

  # Host执行
  mkdir -p /var/coredumps
  chmod 777 /var/coredumps
  

• 修改节点core_pattern指向该共享目录：

  echo "/var/coredumps/%h.%t.core" > /proc/sys/kernel/core_pattern
  

• 在Pod配置中挂载该目录：

  volumes:
    - name: coredump-dir
      hostPath:
        path: /var/coredumps
        type: DirectoryOrCreate
  containers:
    - name: app-container
      volumeMounts:
        - name: coredump-dir
          mountPath: /var/coredumps
      securityContext:
        runAsUser: 1000 # 你的非Root用户UID
        runAsGroup: 1000
  

2. 调整Pod安全上下文 #

• 添加fsGroup配置，让容器内存储目录的属组匹配fsGroup，确保内核写入时拥有权限：

  securityContext:
    runAsUser: 1000
    runAsGroup: 1000
    fsGroup: 1000
    allowPrivilegeEscalation: false
  

• 若业务允许，可添加CAP_SYS_ADMIN能力（仅必要时使用，避免过度授权）：

  securityContext:
    capabilities:
      add: ["SYS_ADMIN"]
  

3. 使用Sidecar容器收集Core Dump #

• 部署Root权限的Sidecar容器，挂载相同Core Dump目录，负责监控并清理空文件、保留完整Core Dump：

  containers:
    - name: app-container
      runAsUser: 1000
      volumeMounts:
        - name: coredump-dir
          mountPath: /var/coredumps
    - name: coredump-collector
      image: alpine:latest
      runAsUser: 0
      volumeMounts:
        - name: coredump-dir
          mountPath: /var/coredumps
      command: ["sh", "-c", "while true; do sleep 30; find /var/coredumps -type f -size 0 -delete; done"]
  

4. 补充内核参数配置 #

• 设置kernel.core_uses_pid=1，确保每个Core Dump文件有唯一PID后缀：

  echo "1" > /proc/sys/kernel/core_uses_pid
  

• 若Host系统允许，关闭文件系统保护参数：

  echo "0" > /proc/sys/fs/protected_symlinks
  echo "0" > /proc/sys/fs/protected_hardlinks
  

内容的提问来源于stack exchange，提问作者james koo