如何在Kubernetes/Minikube中覆盖只读文件？Java证书导入异常求助

你的问题核心是init容器已成功修改证书，但主容器无法看到修改后的内容，大概率是文件复制或挂载的细节问题，以下是针对性的排查和修复步骤：

1. 修正init容器的文件复制命令 #

当前init容器使用cp -R /usr/java/openjdk-18/lib/security/* /cacerts/，这个命令有两个潜在问题：

• 会漏掉源目录中的隐藏文件（如果存在）
• 复制时可能丢失文件的权限、属主等关键属性

把复制命令改成：

cp -a /usr/java/openjdk-18/lib/security/. /cacerts/

• -a 参数等价于-dpR，会完整保留文件的权限、属主、时间戳等属性
• 使用/.代替/*，确保源目录下的所有内容（包括隐藏文件）都被复制到目标目录

2. 验证主容器挂载后的文件一致性 #

在主容器的命令中添加文件校验步骤，确认挂载的文件和init容器处理后的文件是否一致：

bash -c "
# 打印文件哈希值，和init容器输出对比
md5sum /usr/java/openjdk-18/lib/security/cacerts
# 尝试查看证书
keytool -list -keystore /usr/java/openjdk-18/lib/security/cacerts -alias local
# 查看文件权限
ls -l /usr/java/openjdk-18/lib/security/cacerts
"

同时在init容器的命令末尾添加相同的哈希和权限查看命令：

bash -c "
cp -a /usr/java/openjdk-18/lib/security/. /cacerts/
keytool -import -noprompt -trustcacerts -alias local -file /security/tls.crt -keystore /cacerts/cacerts -storepass changeit
keytool -list -keystore /cacerts/cacerts -alias local
# 添加校验
md5sum /cacerts/cacerts
ls -l /cacerts/cacerts
"

如果哈希值不一致，说明卷挂载存在异常（这种情况罕见，但可以排查emptyDir的配置是否有特殊设置）；如果权限不一致，说明复制时丢失了权限，用cp -a可以解决。

3. 确认主容器的运行权限 #

如果主容器是以非root用户运行，需要确保该用户对/usr/java/openjdk-18/lib/security/cacerts有读取权限。可以在init容器中修改文件权限：

# 在keytool命令后添加
chmod 644 /cacerts/cacerts

确保任何用户都能读取这个证书文件。

修正后的Deployment配置示例 #

apiVersion: apps/v1
kind: Deployment
metadata:
    name: api-gateway
    labels:
        app: api-gateway
spec:
    replicas: 1
    selector:
        matchLabels:
            app: api-gateway
    template:
        metadata:
            labels:
                app: api-gateway
        spec:
          containers:
          - name: api-gateway
            image: api-gateway
            imagePullPolicy: Never
            command:
            - bash
            - -c
            - |
              md5sum /usr/java/openjdk-18/lib/security/cacerts
              ls -l /usr/java/openjdk-18/lib/security/cacerts
              keytool -list -keystore /usr/java/openjdk-18/lib/security/cacerts -alias local
            volumeMounts:
            - mountPath: /usr/java/openjdk-18/lib/security
              name: cacerts
          initContainers:
          - name: init-cacerts
            image: api-gateway
            imagePullPolicy: Never
            command:
            - bash
            - -c
            - |
              cp -a /usr/java/openjdk-18/lib/security/. /cacerts/
              keytool -import -noprompt -trustcacerts -alias local -file /security/tls.crt -keystore /cacerts/cacerts -storepass changeit
              keytool -list -keystore /cacerts/cacerts -alias local
              md5sum /cacerts/cacerts
              ls -l /cacerts/cacerts
              chmod 644 /cacerts/cacerts
            volumeMounts:
            - mountPath: /cacerts
              name: cacerts
            - mountPath: /security
              name: tls
          volumes:
          - name: cacerts
            emptyDir: {}
          - name: tls
            secret:
              secretName: keycloak-tls

内容的提问来源于stack exchange，提问作者ferrocene