同一YAML在Kubernetes运行正常但在Openshift(ROSA)出现权限报错

核心报错原因 #

报错/bin/sh: can't create /var/seamless/log/txe/txe.log: Permission denied是OpenShift与原生Kubernetes默认安全策略差异导致：

• OpenShift默认禁止容器以root身份运行，会为每个命名空间自动分配随机UID段，容器将以该段内的随机UID启动
• 你当前txe组件挂载的日志PV目录所属用户/用户组与容器运行UID不匹配，没有写入权限
• 其余组件运行正常是因为其镜像内部提前开放了目录写入权限，或Deployment已经配置了适配OpenShift规则的安全上下文

修复方案 #

方案1：配置Deployment安全上下文（生产环境推荐，符合OpenShift安全规范） #

先查询当前项目的UID段：

oc get ns <你的命名空间名称> -o yaml | grep openshift.io/sa.scc.uid-range

返回值格式为1000680000/10000，取斜杠前的数字作为fsGroup值，修改txe组件的Deployment配置：

spec:
  template:
    spec:
      securityContext:
        fsGroup: 1000680000 # 替换为你查询到的UID
        fsGroupChangePolicy: "OnRootMismatch"
      containers:
      - name: ers-txe
        # 保持原有容器配置不变

配置后重启Pod，OpenShift会自动修改挂载PV目录的权限，匹配容器运行UID，解决写入问题。

方案2：修改镜像内置目录权限（无需调整K8s资源配置） #

如果可以自行构建txe组件镜像，在Dockerfile中新增一行，提前创建日志目录并开放所有用户写入权限：

RUN mkdir -p /var/seamless/log/txe && chmod -R 777 /var/seamless/log/txe

重新构建镜像后替换Deployment的镜像版本即可生效。

方案3：临时验证方案（生产环境不推荐） #

如果仅做临时验证，可以给组件对应的服务账号授予anyuid权限，允许容器以root运行：

oc adm policy add-scc-to-user anyuid -z <你的服务账号名称> -n <你的命名空间名称>

重启Pod后即可正常写入，该方案会降低容器安全级别，生产环境禁止使用。

内容的提问来源于stack exchange，提问作者Aman Singh