K8s(OpenShift)中如何将主容器文件系统挂载至Sidecar以运行perf script

刚好碰到过类似的场景，给你几个适配OpenShift环境的可行方案，完美匹配你不想用特权、不想复制文件系统的需求：

方案1：共享PID命名空间，通过/proc/<pid>/root直接访问主容器FS #

这是最省心的方案，完全不需要额外的挂载操作或者特权：

• 首先，在你的Pod定义里加上shareProcessNamespace: true，这样Sidecar和主容器会共享同一个PID命名空间，Sidecar能直接看到主容器里的所有进程。
• 然后在Sidecar里找到主容器目标进程的PID——如果是主容器的入口进程，通常PID就是1，或者用pgrep <进程名>精准定位。
• 最后执行perf命令时，直接指定符号路径为/proc/<pid>/root，比如：

perf script --symfs=/proc/1/root

这个方案的优势很明显：

• 不需要主容器开特权，也不要求主容器里有mount这类工具。
• 完全是实时访问主容器的根文件系统，没有复制开销。
• 符合OpenShift的安全规范，只要你的集群允许Pod共享PID命名空间（大部分场景下默认是支持的，若有问题可调整SCC策略）。

方案2：用emptyDir做绑定挂载（非复制） #

如果你不想共享PID命名空间，也可以试试这个方法，但前提是主容器里有mount命令：

• 先在Pod的spec里定义一个emptyDir类型的Volume。
• 给主容器配置volumeMounts，把你需要的目录（比如根目录/，或者符号集中的/usr/lib）绑定挂载到emptyDir的路径下，同时设置mountPropagation: HostToContainer确保Sidecar能看到挂载内容。
• 最后在Sidecar里把同一个emptyDir挂载到/main，就能访问主容器的文件系统了。

给你一个Pod配置的片段参考：

spec:
  volumes:
  - name: main-root-volume
    emptyDir: {}
  containers:
  - name: main-app-container
    image: your-main-app-image
    volumeMounts:
    - name: main-root-volume
      mountPath: /shared/main-root
      mountPropagation: HostToContainer
    command: ["sh", "-c", "mount --bind / /shared/main-root && exec your-main-app-command"]
  - name: perf-sidecar
    image: your-perf-tool-image
    volumeMounts:
    - name: main-root-volume
      mountPath: /main
    command: ["sh", "-c", "sleep infinity"]

不过这个方案有个硬限制：主容器必须有mount命令，否则没法完成绑定操作，所以还是方案1更适配你的需求。

为什么不推荐用overlayFS？ #

你提到的overlayFS确实可以做联合挂载，但它需要特权模式才能创建挂载点，而且得在主容器里执行mount命令——这正好和你不想让主容器开特权、没法确保mount存在的需求冲突，所以不建议用这个方法。

内容的提问来源于stack exchange，提问作者Radim Vansa