AWS K8s v1.21集群CronJob执行脚本报CrashLoopBackOff错误求助

问题根因梳理 #

• 测试脚本Shebang配置错误：你写的#! /bin/为不完整路径，系统找不到对应解释器，脚本直接执行失败导致容器退出，触发CrashLoopBackOff。
• PostStartHook逻辑错误：PostStartHook和容器主进程是并行执行的，若你用的busybox等基础镜像未配置常驻主进程，主进程启动后直接退出，容器进入销毁状态时PostStartHook还未执行完成，就会抛出cannot exec in a deleted state错误。
• 权限与依赖缺失：在容器内执行kubectl命令，需要容器内置kubectl二进制，同时对应Pod要有操作K8s资源的RBAC权限，否则脚本执行kubectl会直接失败退出。
• 重启策略配置错误：CronJob任务执行完成后容器正常退出，若restartPolicy设置为Always，kubelet会反复重启已完成的容器，必然触发CrashLoopBackOff。

已验证可行配置方案 #

推荐使用ConfigMap存储脚本，无需依赖节点本地文件，适配所有云厂商多节点集群，以下是完整配置步骤：

1. 配置RBAC权限（给CronJob操作集群资源的权限）

apiVersion: v1
kind: ServiceAccount
metadata:
  name: cronjob-kubectl-sa
  namespace: default
---
apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  name: deployment-creator-role
  namespace: default
rules:
- apiGroups: ["apps"]
  resources: ["deployments"]
  verbs: ["create", "get", "list", "delete"]
---
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: cronjob-sa-binding
  namespace: default
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: Role
  name: deployment-creator-role
subjects:
- kind: ServiceAccount
  name: cronjob-kubectl-sa
  namespace: default

2. 用ConfigMap存储执行脚本

apiVersion: v1
kind: ConfigMap
metadata:
  name: cronjob-script
data:
  run.sh: |
    #!/bin/sh
    set -ex
    kubectl create deployment nginx --image=nginx || echo "deployment already exists"

3. CronJob核心配置

apiVersion: batch/v1
kind: CronJob
metadata:
  name: create-nginx-cron
spec:
  schedule: "0 * * * *" # 按需修改定时规则，测试可设置为* * * * *每分钟执行一次
  jobTemplate:
    spec:
      template:
        spec:
          serviceAccountName: cronjob-kubectl-sa
          restartPolicy: OnFailure # 仅执行失败时重启，禁止设置为Always
          volumes:
          - name: script-volume
            configMap:
              name: cronjob-script
              defaultMode: 0755 # 必须给脚本可执行权限
          containers:
          - name: kubectl-runner
            image: bitnami/kubectl:1.21 # 和你的集群版本保持一致避免兼容性问题
            command: ["/bin/sh", "/scripts/run.sh"] # 直接将脚本作为容器主进程运行，不要用PostStartHook执行业务逻辑
            volumeMounts:
            - name: script-volume
              mountPath: /scripts

额外注意事项 #

• 业务逻辑不要放在PostStartHook中执行，该钩子仅适合做配置初始化、权限调整这类辅助操作。
• 若坚持用hostPath方案，需要保证集群所有节点对应路径下都存在目标脚本且有执行权限，否则Pod调度到无脚本的节点就会执行失败。
• 脚本Shebang建议写#!/bin/sh，兼容性高于#!/bin/bash，多数轻量镜像仅内置sh无bash。

内容的提问来源于stack exchange，提问作者Skyhawk Para92