Kubernetes StatefulSet PostStart Hook执行ConfigMap脚本报权限错误如何解决

• ConfigMap类型的Volume默认挂载的文件权限为0644，无执行权限，直接执行会触发权限不足报错。
• 你配置的initContainers未执行实际的权限修复逻辑，仅做了目录挂载，没有将脚本复制到可执行目录、修改权限的操作，主容器获取到的还是原ConfigMap挂载的无执行权限文件，所以报错和之前一致。
• ConfigMap挂载的目录默认带有noexec挂载参数，即便手动修改文件权限，也无法在该挂载路径下直接执行文件。
• 你提供的poststart.sh脚本存在语法错误：echo "Its done"`中的反引号会被shell识别为命令替换标记，触发语法报错。

方案1：调整执行方式+修复脚本语法（最便捷，无需修改init容器） #

1. 修复poststart.sh脚本的语法错误，将反引号替换为单引号：

#!/bin/bash
echo "It's done"

2. 修改PostStart执行命令，直接通过shell解释器加载脚本，不需要脚本拥有执行权限，也规避noexec挂载限制：

lifecycle:
    postStart:
      exec:
        command: ["/bin/sh", "/scripts/poststart.sh"]

方案2：修改ConfigMap默认挂载权限 #

如果需要保留直接执行脚本的逻辑，可以在Volume配置中新增defaultMode字段，给脚本授予执行权限：

volumes:
  - name: postgres-scripts
    configMap:
      name: postgres-configmap-initscripts
      defaultMode: 0755
      items:
      - key: poststart.sh
        path: poststart.sh

如果配置后还是有执行报错，就是挂载点noexec限制导致，直接用方案1的执行命令即可。

方案3：正确配置initContainers处理脚本（适合需要修改脚本内容的场景） #

你之前的init容器未执行实际逻辑，按如下配置修改即可：

1. 新增emptyDir类型的Volume，用于存放可执行的脚本文件：

volumes:
  - name: postgres-scripts
    configMap:
      name: postgres-configmap-initscripts
  - name: runnable-scripts
    emptyDir: {}

2. 修改initContainers配置，复制脚本到emptyDir并授予执行权限：

initContainers:
- name: "postgres-ghost"
  image: alpine
  volumeMounts:
  - mountPath: /source
    name: postgres-scripts
  - mountPath: /target
    name: runnable-scripts
  command: ["/bin/sh", "-c", "cp /source/poststart.sh /target/ && chmod +x /target/poststart.sh"]

3. 修改主容器的VolumeMount配置，挂载处理后的脚本目录：

volumeMounts:
- mountPath: /scripts
  name: runnable-scripts

如果修改后仍然报错，可以进入Pod手动定位问题：

• 执行kubectl exec -it <异常Pod名称> -- sh进入运行中的容器
• 执行ls -l /scripts/poststart.sh查看脚本的实际权限配置
• 执行mount | grep /scripts查看挂载点参数，确认是否存在noexec标记
• 手动执行sh /scripts/poststart.sh，查看具体报错内容定位问题

内容的提问来源于stack exchange，提问作者Brijesh Shah