如何以root身份进入AKS Pod内运行的SQL Server 2019容器交互shell

你之前执行的命令报错是因为kubectl的--user参数作用为选择本地kubeconfig中定义的API服务认证凭证，和docker exec里指定容器内运行用户的同名参数功能完全不同，因此会触发auth info "root" does not exist错误。

方案1：临时Root操作（无需重启现有Pod） #

使用K8s临时容器（Ephemeral Containers）特性，无需修改现有部署配置，即可临时获取容器root权限，不需要节点安装docker命令：

• 执行如下命令创建临时调试容器，共享目标Pod的进程命名空间，以root身份启动：

kubectl debug -it 你的MSSQL Pod名称 \
  --image=mcr.microsoft.com/mssql/server:2019-latest \
  --user=0 \
  --share-processes \
  --target=MSSQL容器名称 -- bash

• 进入调试容器后，原目标容器的完整文件系统可通过/proc/<MSSQL进程PID>/root路径访问，可直接执行需要root权限的操作。

如果你的K8s版本较低不支持--target参数，可使用以下命令：

kubectl debug -it 你的MSSQL Pod名称 \
  --image=busybox:1.36 \
  --user=0 \
  --share-processes \
  --copy-to=sql-temp-debug-pod -- bash

调试完成后手动删除临时Pod即可：kubectl delete po sql-temp-debug-pod

方案2：长期配置Root权限（需重启Pod） #

如果需要长期支持exec进入容器时默认使用root身份，可修改Deployment配置，添加容器安全上下文指定启动用户为root：

1. 编辑你的MSSQL Deployment配置，在containers字段下新增securityContext配置：

containers:
- name: sql-server
  image: mcr.microsoft.com/mssql/server:2019-latest
  # 新增以下配置
  securityContext:
    runAsUser: 0

注：微软官方MSSQL Linux镜像默认支持以root用户启动，启动后会自动降权到mssql用户运行SQL Server服务，不会影响服务正常运行。

2. 应用配置后Pod会自动滚动重启，重启完成后直接执行exec命令即可默认以root身份进入容器：

kubectl exec -it 你的MSSQL Pod名称 -- bash

内容的提问来源于stack exchange，提问作者Franco Tiveron