Kubernetes非root用户容器entrypoint执行mkdir权限拒绝问题咨询

你遇到的权限报错本质原因很简单：配置runAsUser: 100000后，容器内所有启动进程（包括你写在command字段里的mkdir命令）都会以UID=100000的非特权用户身份运行，而容器内/mnt目录默认归属root用户，默认权限为755，普通用户没有写入权限，自然无法创建子目录。

按照生产环境可用性优先级排序：

• 方案1：使用initContainer提前初始化目录（最推荐，符合K8s安全最佳实践）
  initContainer是K8s原生提供的前置初始化容器，会在业务容器启动前按顺序运行，执行完成退出后才会启动业务容器，完全不会改动业务容器的非root安全上下文。
  配置示例如下：

spec:
  initContainers:
    - name: init-workdir
      # 直接复用业务容器镜像即可，不需要额外拉取专用镜像
      image: <你的业务容器镜像地址>
      command: ["/bin/sh", "-c", "mkdir -p /mnt/service/path && chown -R 100000:100000 /mnt/service/path"]
      volumeMounts:
        # 如果/mnt是挂载的外部存储（PVC/emptyDir/hostPath等），必须和业务容器挂载同名volume，创建的目录才会共享
        - name: service-data
          mountPath: /mnt
  containers:
    - name: <你的业务容器名>
      # 原有业务配置保留，command不再需要执行mkdir，直接启动原入口点即可
      command: ["/etc/user/entrypoint"]
      securityContext:
        runAsUser: 100000
        runAsGroup: 100000
      volumeMounts:
        - name: service-data
          mountPath: /mnt
  volumes:
    - name: service-data
      # 替换为你实际使用的存储配置，比如emptyDir: {}、persistentVolumeClaim等

如果/mnt/service/path是容器根文件系统内的路径（没有挂载外部volume），initContainer里不需要挂载volume，直接操作对应路径即可，注意创建目录后要把目录权限修改为100000:100000，否则业务容器启动后依然没有读写权限。

• 方案2：构建镜像时预置目录结构
  如果你的路径位于容器根文件系统，且不想额外增加initContainer配置，可以在构建业务镜像的Dockerfile中提前创建好目录并配置好权限，容器启动时直接使用即可，不需要运行时执行创建操作：

# 你的原有镜像构建逻辑
RUN mkdir -p /mnt/service/path && chown -R 100000:100000 /mnt/service/path
# 后续其他构建步骤

这个方案的局限是：如果/mnt路径挂载了外部存储，镜像内预置的目录和权限会被挂载的volume覆盖，这种场景下该方案不生效，必须使用initContainer。

• 方案3：为容器添加权能绕过权限检查（极不推荐，生产环境禁用）
  如果你一定要在业务容器的启动命令中完成目录创建，可以给容器添加CAP_DAC_OVERRIDE权能，让非root用户可以绕过文件系统权限检查执行写入操作：

securityContext:
  runAsUser: 100000
  runAsGroup: 100000
  capabilities:
    add: ["DAC_OVERRIDE"]

该方案会大幅降低容器的安全隔离性，等于给普通用户开放了整个文件系统的读写权限，除非是测试环境临时验证，否则绝对不要在生产环境使用。

内容的提问来源于stack exchange，提问作者Geek-bit