将Azure Files作为Kubernetes卷使用时的文件权限修改问题咨询

首先明确核心结论：截至目前，通过SMB协议挂载到Kubernetes的Azure Files，仍然不支持单独修改共享内单个文件或目录的权限。这是SMB协议的特性限制，Azure Files会强制让所有文件继承共享级别的默认权限（要么是挂载时指定的fileMode/dirMode参数，要么是默认的0777），容器内执行的chmod操作不会产生任何效果——这正是你遇到的问题根源。

针对你提到的SSH场景（必须让id_rsa权限为0600，其他.ssh目录下文件保持0644），这里有几个实用的解决方案：

方案1：用Init容器预处理权限 #

这个思路是把Azure Files里的.ssh文件先复制到本地临时存储（emptyDir），在Init容器里修改好对应权限后，主容器再挂载这个临时目录。既保留了Azure Files的共享存储能力，又解决了私钥的权限要求。

示例Pod配置：

apiVersion: v1
kind: Pod
metadata:
  name: ssh-workload
spec:
  # 先执行Init容器处理权限
  initContainers:
  - name: fix-ssh-permissions
    image: busybox:stable
    command: ["sh", "-c"]
    args:
    - |
      # 创建本地.ssh目录
      mkdir -p /local-ssh/.ssh
      # 复制文件并设置对应权限
      cp /azure-share/.ssh/id_rsa /local-ssh/.ssh/ && chmod 0600 /local-ssh/.ssh/id_rsa
      cp /azure-share/.ssh/config /local-ssh/.ssh/ && chmod 0644 /local-ssh/.ssh/config
      cp /azure-share/.ssh/id_rsa.pub /local-ssh/.ssh/ && chmod 0644 /local-ssh/.ssh/id_rsa.pub
    volumeMounts:
    - name: azure-files-volume
      mountPath: /azure-share
    - name: local-ssh-storage
      mountPath: /local-ssh
  # 主业务容器
  containers:
  - name: ssh-container
    image: your-ssh-base-image:latest
    volumeMounts:
    # 挂载处理好权限的本地目录到用户.ssh路径
    - name: local-ssh-storage
      mountPath: /home/userx/.ssh
    # 如果需要其他共享文件，继续挂载Azure Files到其他路径
    - name: azure-files-volume
      mountPath: /shared-data
  volumes:
  - name: azure-files-volume
    azureFile:
      secretName: azure-storage-secret
      shareName: your-file-share-name
      readOnly: false
  # 本地临时存储，Pod重启后会丢失；若需持久化可替换为本地PV
  - name: local-ssh-storage
    emptyDir: {}

方案2：切换到NFS协议挂载Azure Files #

如果你的Azure存储账户是Premium File Storage（且所在区域支持），可以启用NFS协议来挂载Azure Files。NFS协议支持细粒度的文件权限控制，挂载后你可以直接在容器里用chmod修改单个文件的权限，和本地文件系统操作完全一致。

注意：NFS挂载的Azure Files有一些限制（比如需要特定的VNet配置），你可以根据自身环境评估是否适合切换。

方案3：上传文件时预先设置权限 #

如果你是通过Azure CLI或其他工具上传文件到Azure Files，可以在上传阶段就指定好文件权限，这样挂载到K8s后权限就是正确的，不需要在容器内再执行修改操作。

示例Azure CLI命令：

# 上传私钥并设置0600权限
az storage file upload --account-name your-storage-account --share-name your-share --source ./id_rsa --path .ssh/id_rsa --permissions 0600

# 上传公钥和config文件，设置0644权限
az storage file upload --account-name your-storage-account --share-name your-share --source ./id_rsa.pub --path .ssh/id_rsa.pub --permissions 0644
az storage file upload --account-name your-storage-account --share-name your-share --source ./config --path .ssh/config --permissions 0644

内容的提问来源于stack exchange，提问作者hajji_0081