OpenShift中Pod启动后NFS挂载点权限显示问号问题求助

出现该问题的核心原因是容器运行身份与NFS共享目录的权限不匹配，具体原因如下：

• NFS服务端的共享目录/nfs/abc权限为drwxrwx---，仅允许属主technical用户、属组technical组的用户访问，其他用户无任何访问权限。
• 你的Deployment配置中设置了runAsNonRoot: true和runAsGroup: 44337，未指定runAsUser时OpenShift会自动分配项目范围内的随机UID运行容器，容器内进程和exec会话最终的运行身份既不是technical用户，也不属于technical组，因此没有权限读取目录的inode信息，执行ls时就会出现权限拒绝、权限位显示为???的情况。
• 刚启动Pod时能正常查看权限，是因为容器完全启动前的exec会话尚未完全应用安全上下文约束，临时通过kubelet的高权限映射访问NFS目录，等安全上下文完全生效后就会回到权限不足的状态。
• 额外可能的影响因素：如果NFS服务端导出配置开启了all_squash，会将所有客户端访问用户映射为nfsnobody，也会触发该问题。

1. 优先推荐在Deployment的securityContext中新增fsGroup配置，值和runAsGroup保持一致：

securityContext:
  runAsGroup: 44337
  runAsNonRoot: true
  fsGroup: 44337 # 新增字段

kubelet挂载NFS PV时会自动将挂载点的属组修改为44337，并赋予组读写执行权限，不需要修改NFS服务端配置。
2. 也可以直接修改NFS服务端的共享目录权限：

# 替换为你NFS服务端对应的共享目录实际路径
chgrp 44337 /your/nfs/share/path/abc
chmod g+rwx /your/nfs/share/path/abc

3. 检查NFS服务端的导出配置（通常是/etc/exports），确认没有开启all_squash，如果需要可以配置no_all_squash保证客户端用户身份正常传递。

内容的提问来源于stack exchange，提问作者Syed Iftekharuddin