为何删除Kubernetes Pod配置的spec.containers.command字段后Pod启动失败

故障根因说明 #

这个问题和securityContext配置没有关联，完全是busybox镜像的默认启动行为导致的：

• 官方busybox镜像的默认入口点是sh命令，这是交互式终端程序，运行时需要绑定标准输入和终端环境，没有对应环境的情况下进程会直接退出。
• 原配置里的command: [ "sh", "-c", "sleep 1h" ]覆盖了镜像默认启动命令，让容器启动后运行前台休眠进程，所以Pod可以持续保持Running状态。
• 删除command配置后，容器会执行默认的sh命令，Kubernetes默认不会为普通容器分配交互式终端，sh进程没有输入源就会立刻终止，Pod就会进入CrashLoopBackOff或Completed的失败状态。

解决方案 #

如果不需要自定义启动命令，可以给容器添加终端分配配置即可正常运行，配置片段如下：

containers:
  - name: sec-ctx-demo
    image: busybox
    stdin: true # 开启标准输入
    tty: true # 分配虚拟终端
    volumeMounts:
    - name: sec-ctx-vol
      mountPath: /data/demo
    securityContext:
      allowPrivilegeEscalation: false

你也可以替换为自带前台常驻进程的服务类镜像（比如nginx、httpd等），不需要额外配置启动命令或终端参数即可正常运行。

内容的提问来源于stack exchange，提问作者Viplove