无需特权标识或SYS_ADMIN权限从容器安全挂载CIFS/SMB共享的方法

你之前遇到的权限报错是因为容器内执行内核态挂载操作默认需要SYS_ADMIN权限，以下两种方案均可在不开放高权限、保障凭证安全的前提下实现需求：

方案一：使用K8s官方SMB CSI驱动（生产环境推荐） #

该方案将挂载逻辑下沉到集群kubelet层面，业务容器完全不需要任何额外权限，也不会在宿主机全局暴露共享访问权限。

• 安全特性：无需给业务容器配置--privileged或SYS_ADMIN权限，不存在宿主机提权风险；SMB凭证存储在K8s Secret中，仅绑定对应存储卷的Pod可读取，宿主机不会留存凭证也不会默认挂载共享。
• 适配性：完全兼容Rancher管理的Kubernetes集群，不需要修改宿主机配置。

操作步骤 #

1. 在Rancher集群中部署SMB CSI驱动，直接通过kubectl导入部署清单即可完成安装
2. 创建存储SMB访问凭证的Secret：

kubectl create secret generic smb-cred \
  --from-literal=username='some_account@mydomain.internal' \
  --from-literal=password='some_password'

3. 创建SMB类型的持久化卷（PV）：

apiVersion: v1
kind: PersistentVolume
metadata:
  name: smb-myshare-pv
spec:
  capacity:
    storage: 10Gi
  accessModes:
    - ReadWriteMany
  persistentVolumeReclaimPolicy: Retain
  mountOptions:
    - vers=3.0
    - dir_mode=0700
    - file_mode=0700
  csi:
    driver: smb.csi.k8s.io
    readOnly: false
    volumeHandle: smb-myshare-unique-id
    volumeAttributes:
      source: "//192.168.123.123/MyShare"
    nodeStageSecretRef:
      name: smb-cred
      namespace: default

4. 创建对应持久化卷声明（PVC）绑定上述PV后，直接在Rancher工作负载配置中将PVC挂载到容器指定路径即可使用。

方案二：用户态SMB访问（无集群级依赖） #

如果你不想在集群层面安装额外驱动，且不需要将共享挂载为本地文件系统，可以直接在容器镜像中预装smbclient工具，在应用层调用工具完成文件读写：

• 安全特性：完全不需要给容器开放任何额外权限，凭证通过K8s Secret注入为容器环境变量或临时文件，不会对外泄露。
• 局限性：无法像本地文件系统一样直接操作文件，需要适配smbclient的操作逻辑。

内容的提问来源于stack exchange，提问作者ted