如何在Kubernetes中修改fs.inotify.max_user_watches文件系统监听数限制

你在Pod内修改内核参数失败的核心原因有两个：

• K8s默认将Pod内的/proc/sys目录以只读方式挂载，普通Pod没有修改内核参数的权限，fs.inotify.max_user_watches属于内核参数，因此会报只读文件系统错误
• 你使用的容器镜像默认没有预装sudo工具，因此执行带sudo的命令会提示命令不存在

有两种可行方案，可根据你的实际需求选择：

方案1：单独为业务Pod配置参数（推荐） #

fs.inotify.max_user_watches属于K8s支持的命名空间级内核参数，只需要在你的工作负载（Pod/Deployment/StatefulSet等）的YAML配置中加入securityContext.sysctls字段即可，不需要进Pod执行命令，示例配置如下：

# Deployment示例，若为Pod直接取spec下的配置即可
apiVersion: apps/v1
kind: Deployment
metadata:
  name: nodejs-app
spec:
  replicas: 1
  selector:
    matchLabels:
      app: nodejs-app
  template:
    metadata:
      labels:
        app: nodejs-app
    spec:
      # 新增以下安全上下文配置
      securityContext:
        sysctls:
        - name: fs.inotify.max_user_watches
          value: "524288"
      containers:
      - name: nodejs
        image: # 你的NodeJS应用镜像地址
        # 其余原有配置保持不变

注意：如果你的集群开启了Pod安全准入限制，需要先配置对应策略允许设置fs.inotify.max_user_watches参数，否则会出现Pod创建失败的问题。

方案2：调整节点全局默认配置 #

如果你需要节点上所有新建Pod默认都使用更高的文件监听数限制，可以直接登录到对应的K8s宿主机节点，在节点层面执行修改命令：

echo fs.inotify.max_user_watches=524288 | sudo tee -a /etc/sysctl.conf && sudo sysctl -p

配置生效后，该节点上后续新启动的所有Pod都会默认继承这个参数值，不需要再单独为每个Pod配置。 #

内容的提问来源于stack exchange，提问作者Venryx