K8s非root Pod配置fsGroup后PV父目录属主未生效问题咨询

卷目录属主修改逻辑说明（对应问题2） #

• fsGroup相关的权限调整责任分两类场景：
  • 若CSI驱动实现了VOLUME_MOUNT_GROUP能力，属组调整逻辑由CSI驱动在卷挂载阶段执行
  • 若CSI驱动未实现上述能力，kubelet会在卷挂载完成后递归遍历卷内文件、目录执行属组调整，调整行为直接受fsGroupChangePolicy参数控制
• 当前使用Rook（底层为Ceph CSI）时出现卷根目录属主为root:root的现象，属于Ceph CSI的默认行为：Ceph CSI在首次格式化挂载RBD/CephFS卷时，会默认将卷根目录权限设为0777、属主属组配置为root:root，默认不会主动修改卷根目录的UID，仅按fsGroup配置调整GID。出现根目录GID未按预期修改的原因是fsGroupChangePolicy: "OnRootMismatch"的判断逻辑依赖CSI驱动上报的根目录权限信息，部分版本Ceph CSI存在上报逻辑缺陷，会导致kubelet误判根目录GID匹配，跳过权限调整流程。
• 注意：fsGroup配置本身仅调整文件/目录的属组GID，不会修改属主UID，官方文档中关于fsGroup生效范围的描述仅针对属组，不涉及UID调整，预期卷根目录UID为1000的需求无法通过fsGroup配置实现。

强制配置挂载卷根目录属主属性的方案（对应问题1） #

按落地优先级从高到低排列：

• 方案1：调整权限变更策略修正GID配置
  将fsGroupChangePolicy从OnRootMismatch修改为Always，强制kubelet在每次Pod启动挂载卷时，递归修改卷内所有文件、目录（包含卷根目录）的属组为fsGroup指定的2000。该方案仅能修正GID配置，无法调整UID为1000，配置示例如下：

  securityContext:
    runAsUser: 1000
    runAsGroup: 2000
    fsGroup: 2000
    fsGroupChangePolicy: "Always"
  

• 方案2：通过init容器提前修正权限
  这是兼容性最高、可控性最强的方案：添加一个临时提权的init容器，与业务容器挂载同一块持久卷，在业务容器启动前执行属主、权限修改命令，执行完成后退出即可，不会被CSI驱动的后续流程覆盖。配置示例如下：

  initContainers:
  - name: fix-volume-permission
    image: busybox:stable
    command: ["sh", "-c", "chown 1000:2000 /home/user/app && chmod 755 /home/user/app"]
    securityContext:
      runAsUser: 0
    volumeMounts:
    - name: app
      mountPath: /home/user/app
  

• 方案3：通过StorageClass全局配置挂载参数
  在Rook对应的StorageClass资源中添加挂载选项，指定卷挂载时的默认UID、GID和权限，让Ceph CSI在挂载阶段直接完成根目录属性配置，无需后续调整。RBD块存储的配置示例如下：

  parameters:
    # 保留原有StorageClass配置参数
    mountOptions: "noatime,uid=1000,gid=2000,file_mode=0644,dir_mode=0755"
  

  注意CephFS与RBD的挂载参数存在差异，需要根据实际使用的存储类型调整，该配置对所有使用该StorageClass创建的PV全局生效。
• 避坑提示：不要尝试在业务镜像内提前创建/home/user/app目录并配置属主，kubelet和CSI驱动执行挂载操作时会直接覆盖挂载点的目录属性，镜像内的预配置不会生效。

内容的提问来源于stack exchange，提问作者alixander