K8s特权Pod内dpdk-devbind绑定vfio-pci到SR-IOV VF失败如何解决

特权模式下驱动绑定失败的根因 #

K8s默认会给所有容器的/sys目录赋予只读挂载权限，该配置独立于Pod的readOnlyRootFilesystem参数（后者仅控制容器自身根文件系统的读写属性，不会影响/sys、/proc这类特殊文件系统的挂载属性）。
而裸Docker使用--privileged启动容器时，默认会以读写权限挂载/sys目录，这就是两者行为不一致的核心原因，和PSP的特权配置无关。

驱动绑定是否必须在宿主机执行 #

不需要，可根据业务需求选择对应方案：

• 若需要容器内自主选择SR-IOV VF、动态绑定驱动：你已经验证通过的initContainer挂载宿主机/sys目录的方案完全可行，也可以为了降低安全风险，仅挂载/sys/bus/pci/drivers、/sys/devices、/sys/module这几个必要的子目录，挂载时指定readOnly: false即可，不需要挂载整个/sys目录。
• 若不需要动态选择VF：可提前在宿主机完成VF到vfio-pci的绑定，再通过SR-IOV设备插件将VF直接透传给Pod，该方案不需要给Pod开放过高权限，安全性更高。

KNI异常问题优化 #

你当前的临时修复方案可正常运行，但无需修改DPDK源码：
在Pod正确挂载读写权限的/sys目录后，加载rte_kni.ko时携带carrier=on参数即可解决carrier文件读取失败的问题，不需要注释rte_kni_update_link()相关代码。

内容的提问来源于stack exchange，提问作者happy