Kubernetes init-container挂载Secret卷/拷贝文件失效问题求助

排查解决方案 #

1. 确认Secret基础配置合法性 #

• 验证Secret与Pod处于同一命名空间，且状态正常：执行命令kubectl get secret service-bhr-proxy-certificate -n <Pod所在命名空间>，确认返回结果状态为Active，若不存在或命名空间不匹配会直接导致挂载失败。
• 查看Secret的键名是否符合预期：执行命令kubectl get secret service-bhr-proxy-certificate -o yaml，确认data字段下的键名与你需要读取的文件名一致，Secret的每个键会对应挂载目录下的一个独立文件，键名不匹配会导致读不到目标文件。

2. 检查挂载与权限配置 #

• 查看Pod事件确认无挂载报错：执行kubectl describe pod <Pod名称> -n <Pod所在命名空间>，检查Events栏是否有MountVolume.SetUp failed类的报错，若存在权限类、资源不存在类报错可直接定位问题。
• 调整Secret挂载权限：若你的init容器使用非root用户运行，默认的Secret文件权限可能导致读不到内容，可在Volume配置中显式指定权限：

- name: cert
  secret:
    secretName: service-bhr-proxy-certificate
    defaultMode: 0644

• 确认无其他Volume覆盖挂载路径：检查init容器的volumeMounts配置，确认没有其他卷挂载到/etc/nginx/certs_intermit或它的上级目录，避免覆盖Secret的挂载内容。

3. 验证init容器执行逻辑 #

• 查看init容器日志：执行kubectl logs <Pod名称> -c service-bhr-proxy-certificate -n <Pod所在命名空间>，确认容器启动过程无报错。
• 增加调试日志确认文件存在：可以临时修改init容器的启动命令，打印挂载目录的内容，验证文件是否正常生成：

command: ["sh", "-c", "ls -la /etc/nginx/certs_intermit && 你的原有启动命令"]

如果使用共享空卷向业务容器传递文件，要确认拷贝命令逻辑正确，比如cp -r /etc/nginx/certs_intermit/* /共享卷挂载路径/，避免漏写递归参数、路径拼写错误导致拷贝失败。

内容的提问来源于stack exchange，提问作者Kavya Rudrappa