Cloud Foundry部署需特权容器应用的可行性及替代方案问询

嗨，我来帮你理清这个问题的解决思路～

一、通过Diego Manifest调整容器权限是否可行？ #

答案是普通用户基本行不通。Diego Manifest属于Cloud Foundry的底层平台配置，主要由平台管理员负责维护。为了保证多租户环境的安全隔离，平台通常不会开放给普通用户修改这类配置的权限——毕竟privileged模式会让容器获得主机级别的权限，存在不小的安全风险。所以如果只是普通应用开发者，这条路大概率走不通。

二、其他可行的替代方案 #

1. 优先使用平台原生的对象存储服务绑定 #

这是最推荐、最符合Cloud Foundry设计理念的方式。大多数Cloud Foundry服务商（包括你提到的Swisscom）都提供了兼容S3的对象存储服务，你只需要在平台上创建对应的服务实例，然后通过cf bind-service命令把服务绑定到你的应用上。之后应用可以直接调用S3的API或者对应语言的SDK来读写存储，完全不需要自己挂载文件系统，也避开了privileged容器的限制。

2. 尝试定制构建包集成s3fs-fuse（不推荐） #

你可以尝试把s3fs-fuse打包到自定义构建包里，不过要注意：Cloud Foundry的容器默认限制了FUSE的使用权限，即使是用户空间的FUSE实现，也需要容器拥有CAP_SYS_ADMIN这类特殊权限，而普通用户通常无法设置这些权限。这种方式不仅配置麻烦，后续维护成本也高，而且不一定能成功，所以只适合临时测试场景。

3. 考虑Sidecar容器模式（取决于平台支持） #

如果你的Cloud Foundry平台支持Sidecar容器（比如新版本的Diego），可以尝试把s3fs-fuse放到Sidecar容器中，然后通过共享卷让主应用访问挂载的S3目录。但同样，Sidecar容器能否获得足够权限运行s3fs-fuse，还是要看平台管理员是否开放了相关权限，普通用户可能依然受限。

4. 申请特殊权限或切换平台 #

如果你的应用确实离不开这种挂载方式，可以联系平台管理员，询问是否能为你的应用所在的组织/空间放宽容器权限限制；或者考虑切换到支持privileged容器的平台（比如Kubernetes），不过这就脱离了Cloud Foundry的生态了。

总结一下，最稳妥的方案还是优先使用平台提供的原生对象存储服务绑定，既安全又省心～

内容的提问来源于stack exchange，提问作者mikel