K8S配置securityContext的fsGroup后持久卷挂载仍出现写入权限错误问题

问题根因 #

1. 你配置的fsGroup值为2000，和容器运行的用户组ID 1001不匹配，就算fsGroup生效，卷的属组也会被设置为2000，你的1001用户还是没有写入权限。
2. hostPath类型的持久卷默认不会触发K8S的fsGroup权限修改逻辑，就算配置了正确的fsGroup，挂载后的目录权限还是继承节点上对应hostPath路径的原有权限。
3. 未挂载卷时容器运行正常，是因为此时用的是镜像内置的文件系统，你在Dockerfile中已经给/opt目录设置了tomcat用户的权限，而挂载PVC后，挂载点的权限会被PVC对应PV的权限覆盖，镜像中的原有权限不再生效。

解决方案 #

方案一：修正securityContext配置（优先尝试）

修改Deployment的securityContext配置，将fsGroup调整为和runAsGroup一致的1001，同时添加fsGroupChangePolicy强制修改卷权限，适配K8S 1.23及以上版本：

spec:
  securityContext:
      fsGroup: 1001 # 和runAsGroup的GID保持一致
      fsGroupChangePolicy: "Always" # 强制K8S修改卷的属组权限
      runAsUser: 1001
      runAsGroup: 1001

方案二：添加init容器修复卷权限

如果修改securityContext不生效（多为hostPath卷的原生限制），添加init容器用root身份提前修改挂载卷的权限，配置示例如下：

spec:
  # 新增initContainers配置，和containers同级
  initContainers:
  - name: fix-volume-permission
    image: busybox:1.35
    command: ["chown", "-R", "1001:1001", "/opt/var/logs/docker"]
    volumeMounts:
    - name: logging-volume
      mountPath: /opt/var/logs/docker
    securityContext:
      runAsUser: 0 # 用root身份执行权限修改操作
  # 此处保留你原有containers、volumes等配置不变

方案三：提前修改节点hostPath路径权限

如果你使用的是固定节点的hostPath PV，直接登录PV对应的节点，找到hostPath配置的实际路径，执行以下命令修改权限即可：

chown -R 1001:1001 <节点上hostPath对应的实际目录路径>

内容的提问来源于stack exchange，提问作者mansing shinde