如何在Kubernetes同一Pod中实现主容器就绪后再启动sidecar容器

方案1：sidecar容器新增启动探针探测主容器状态（全版本兼容） #

这是兼容性最高的实现方案，不需要依赖高版本K8s特性，核心逻辑是让sidecar启动后先不执行业务逻辑，直到启动探针探测到主容器已经就绪，才标记sidecar为运行状态。
你可以根据主容器的服务特性选择探测方式：如果主容器暴露了HTTP端口就用HTTP探测，没暴露端口就用共享目录的就绪标记文件探测。
示例配置如下：

containers:
- name: {{ .Chart.Name }} # 主容器
  securityContext:
    {{- toYaml .Values.securityContext | nindent 12 }}
  image: "{{ .Values.image.repository }}:{{ .Values.image.tag | default .Chart.AppVersion }}"
  imagePullPolicy: {{ .Values.image.pullPolicy }}
  # 主容器启动后往共享目录写就绪标记，若需要等主容器完全健康再写，可把该逻辑移到就绪探针中
  lifecycle:
    postStart:
      exec:
        command: ["/bin/sh", "-c", "touch /shared-dir/main-ready"]
  volumeMounts:
  - mountPath: /shared-dir
    name: shared-tmp
- name: container2 # sidecar容器
  image: some-repo
  imagePullPolicy: {{ .Values.image.pullPolicy }}
  volumeMounts:
  - mountPath: /shared-dir
    name: shared-tmp
  # 启动探针探测主容器的就绪标记，探测成功才标记sidecar启动完成
  startupProbe:
    exec:
      command: ["/bin/sh", "-c", "test -f /shared-dir/main-ready"]
    initialDelaySeconds: 5
    periodSeconds: 2
    failureThreshold: 30 # 最长容忍1分钟的主容器启动时间，可自行调整
# 定义Pod内共享的临时目录
volumes:
- name: shared-tmp
  emptyDir: {}

如果主容器有固定暴露的端口，也可以把启动探针的探测逻辑改成探测端口连通性：
command: ["/bin/sh", "-c", "nc -z 127.0.0.1 <主容器监听端口>"]

方案2：sidecar启动命令内嵌前置检查逻辑 #

如果你的sidecar镜像本身就是自定义的，可以直接把主容器就绪检查逻辑写在sidecar的启动脚本开头，检查通过后再执行后续的权限修改脚本，示例启动脚本如下：

#!/bin/sh
# 等待主容器就绪
until test -f /shared-dir/main-ready
do
  echo "等待主容器就绪，1秒后重试"
  sleep 1
done
# 主容器就绪后执行原有权限修改逻辑
/bin/sh /path/to/your/chmod-script.sh

这个方案不需要修改Deployment的探针配置，只需要调整sidecar的启动入口即可。

方案3：Kubernetes 1.29+ 原生Sidecar容器特性适配 #

如果你的集群版本在1.29及以上，可以使用原生稳定的SidecarContainers特性，调整启动顺序实现需求：先配置一个普通init容器探测主容器就绪状态，再把你的sidecar配置为restartPolicy: Always的init容器（即原生sidecar模式），放在探测init容器之后即可。
示例配置如下：

# init容器按顺序执行
initContainers:
- name: wait-main-ready # 第一个init容器，探测主容器就绪状态
  image: busybox:1.36
  command: ["/bin/sh", "-c", "until nc -z 127.0.0.1 <主容器监听端口>; do sleep 2; done"]
- name: container2 # 第二个init容器就是你的sidecar，设置restartPolicy: Always开启常驻模式
  image: some-repo
  imagePullPolicy: {{ .Values.image.pullPolicy }}
  restartPolicy: Always # 开启sidecar模式后会持续运行，不会像普通init容器一样执行完就退出
containers:
- name: {{ .Chart.Name }} # 主容器
  securityContext:
    {{- toYaml .Values.securityContext | nindent 12 }}
  image: "{{ .Values.image.repository }}:{{ .Values.image.tag | default .Chart.AppVersion }}"
  imagePullPolicy: {{ .Values.image.pullPolicy }}

该方案的sidecar会在wait-main-ready执行完成后启动，也就是主容器就绪后才启动，完全符合需求。

内容的提问来源于stack exchange，提问作者Prashant Raghav