Kubernetes RWX模式PVC监控：如何查询访问PVC的Pod及对应时间

注意：Kubernetes本身默认不会持久化存储PVC的所有访问请求记录，所有方案都需要提前配置对应的日志留存规则，否则无法回溯历史访问数据。

方案1：Kubernetes原生资源排查（无需额外组件） #

• 优先执行kubectl describe pvc <PVC名称> -n <PVC所在命名空间>，输出结果的Events字段会展示近期PVC的挂载请求、关联Pod名称、请求触发时间，不过K8s事件默认保留时长为1小时，仅适用于排查近期访问情况。
• 若已开启kube-apiserver审计日志，可通过以下命令筛选PVC的访问请求记录：

  kubectl logs -n kube-system kube-apiserver-<对应节点名> | grep '"requestURI":.*/persistentvolumeclaims/<PVC名称>' | grep '"verb":"use"'
  

  返回结果中requestReceivedTimestamp对应请求发起时间，结合user.username（Pod关联的ServiceAccount）、objectRef.namespace字段即可定位到具体访问的Pod。

方案2：存储侧日志排查（数据最准确） #

RWX模式PVC底层通常对接NFS、CephFS、GlusterFS等支持多节点挂载的共享存储，直接在存储侧查询访问日志即可得到全量访问数据：

• 若底层为NFS存储：查看NFS服务节点的系统日志，Debian/Ubuntu系路径为/var/log/syslog，RHEL/CentOS系路径为/var/log/messages，日志中会记录访问客户端IP、访问时间、操作类型，结合Pod的IP地址即可关联到具体Pod。若未开启NFS访问日志，可修改NFS配置启用debug日志获取更细粒度的访问记录。
• 若底层为CephFS存储：执行ceph fs log <文件系统名称> debug开启访问日志，再结合ceph fs session ls <文件系统名称>输出的客户端会话信息，即可将访问记录与对应Pod做关联。

方案3：自定义细粒度监控（适用于长期监控需求） #

如果需要长期采集PVC的访问明细，可通过Sidecar注入的方式实现监控：

• 给所有挂载该PVC的Pod注入文件系统审计Sidecar，Sidecar与业务容器共享PVC挂载路径，通过inotifywait或fanotify进程监控挂载路径的所有读写操作，自动记录操作时间、操作类型、操作路径。
• 示例监控命令：

  inotifywait -m -r -o /var/log/pvc-access.log --format "%T %e %w%f" --timefmt "%Y-%m-%d %H:%M:%S" <PVC在容器内的挂载路径>
  

  生成的访问日志可统一采集到集群日志系统中做后续检索分析。

内容的提问来源于stack exchange，提问作者Wilson Wii