GKE环境下OpenLDAP容器因PodSecurityPolicy配置持续崩溃如何解决？

问题根因 #

你遇到的崩溃核心是PSP配置阻断了OpenLDAP绑定389、636这两个<1024的特权端口的权限，具体有两个配置错误：

1. 缺少NET_BIND_SERVICE能力授权
   小于1024的端口属于Linux系统特权端口，进程绑定该类端口时需要拥有NET_BIND_SERVICE能力。你当前的PSP配置了requiredDropCapabilities: ALL，会默认丢弃容器进程的所有Linux能力，同时allowedCapabilities列表中仅添加了NET_ADMIN、NET_RAW，未加入必要的NET_BIND_SERVICE，导致OpenLDAP进程启动后无法绑定监听端口，直接异常退出。
2. allowPrivilegeEscalation配置冲突（可选影响项）
   你配置了allowPrivilegeEscalation: false，如果所使用的OpenLDAP镜像默认以非root用户启动，需要通过setuid/setgid提权获取端口绑定权限时，该配置会禁止提权操作，也会导致启动失败。

修复方案 #

修改你的PodSecurityPolicy配置如下：

apiVersion: policy/v1beta1
kind: PodSecurityPolicy
metadata:
  name: test-psp
spec:
  privileged: false # 无需开启特权模式，按需授权能力即可，安全性更高
  allowPrivilegeEscalation: true # 若镜像以非root启动需要提权则设为true，否则可保留false
  defaultAllowPrivilegeEscalation: false
  allowedCapabilities:
  - NET_ADMIN
  - NET_RAW
  - NET_BIND_SERVICE # 新增端口绑定所需的能力
  defaultAddCapabilities: []
  requiredDropCapabilities:
  - ALL
  hostPID: false
  hostIPC: false
  hostNetwork: false
  seLinux:
    rule: RunAsAny
  supplementalGroups:
    rule: RunAsAny
  runAsUser:
    rule: RunAsAny
  fsGroup:
    rule: RunAsAny
  volumes:
  - '*'

修改后重新应用PSP配置，再重新部署OpenLDAP即可正常启动。

验证方法 #

如果修改后仍无法正常启动，可先提取容器启动日志确认具体报错：

• 执行kubectl logs <崩溃的OpenLDAP Pod名称>查看启动日志，若存在permission denied、can't bind to port 389类报错，即可确认是端口绑定权限问题。

内容的提问来源于stack exchange，提问作者floormind