K8s Helm部署挂载Postgres Secret卷提示卷不存在如何解决

部署失败的核心原因是卷名不匹配：volumeMounts块中声明的卷名，和spec.template.spec.volumes块中定义的卷名不一致，K8s做资源校验时找不到对应卷定义直接拦截请求。
具体不匹配项：

• 容器挂载配置引用的卷名是postgres-client-key-volume，但volumes定义中对应条目name为postgres-client-key，缺少-volume后缀
• 容器挂载配置引用的卷名是postgres-server-ca-volume，但volumes定义中对应条目name为postgres-server-ca，缺少-volume后缀
  日志中打印的GCP鉴权插件弃用警告和本次失败无关，不影响部署逻辑。

1. 修正deployment.yaml的卷名配置 #

将volumes块中两个错误的卷名修改为和volumeMounts完全一致的值，修正后的volumes段配置如下：

volumes:
  - name: postgres-client-cert-volume
    secret:
      secretName: postgres-client-cert
      optional: false
  - name: postgres-client-key-volume
    secret:
      secretName: postgres-client-key
      optional: false
  - name: postgres-server-ca-volume
    secret:
      secretName: postgres-server-ca
      optional: false

注意：K8s对卷名是逐字符精确匹配，大小写、后缀不一致都会判定为卷不存在。

2. （可选）配置Helm自动创建Secret #

如果需要省去手动提前创建Secret的步骤，可以在Helm模板目录下新增postgres-secrets.yaml文件，实现部署时自动创建三个Secret资源，模板示例：

{{- if .Values.postgresSecrets.autoCreate }}
apiVersion: v1
kind: Secret
metadata:
  name: postgres-client-cert
type: Opaque
data:
  client.crt: {{ .Values.postgresSecrets.clientCert | b64enc | quote }}
---
apiVersion: v1
kind: Secret
metadata:
  name: postgres-client-key
type: Opaque
data:
  client.key: {{ .Values.postgresSecrets.clientKey | b64enc | quote }}
---
apiVersion: v1
kind: Secret
metadata:
  name: postgres-server-ca
type: Opaque
data:
  server-ca.crt: {{ .Values.postgresSecrets.serverCA | b64enc | quote }}
{{- end }}

在values.yaml中增加对应配置项传入证书内容即可：

postgresSecrets:
  autoCreate: true # 设为false时跳过自动创建，使用集群中已存在的Secret
  clientCert: "客户端证书明文内容"
  clientKey: "客户端私钥明文内容"
  serverCA: "服务端CA证书明文内容"

提示：Secret中data字段的键名会作为挂载到容器内的文件名，如果现有Secret用的是其他键名，对应修改即可。

3. 部署验证 #

配置修改完成后重新执行原helm升级安装命令即可。部署成功后可进入容器验证文件挂载结果：

kubectl exec -it <目标Pod名称> -n $TARGET_ENV -- ls /var/run/secrets/

正常会列出三个postgres相关的证书目录，每个目录下对应存有所需的凭证文件。

内容的提问来源于stack exchange，提问作者Woodsman