如何以非root用户身份运行liveness probe？

好问题！其实从Kubernetes 1.18版本开始，已经支持直接为探针（包括livenessProbe、readinessProbe、startupProbe）单独配置运行身份，完全不需要依赖su -c这类间接切换用户的方式了。

核心方案：为探针单独设置securityContext #

对于exec类型的探针（这也是你当前用su -c的场景），你可以在探针的配置块内添加securityContext字段，指定runAsUser和runAsGroup来定义探针运行的用户身份，甚至可以控制权限提升行为。

举个实际的配置示例：

apiVersion: v1
kind: Pod
metadata:
  name: probe-demo-pod
spec:
  containers:
  - name: app-container
    image: your-app-image
    # 容器主进程以root运行（假设你的应用需要root权限）
    securityContext:
      runAsUser: 0
    livenessProbe:
      exec:
        command: ["health-check-script.sh"]
      # 探针单独以非root用户运行（UID 1000，GID 1000）
      securityContext:
        runAsUser: 1000
        runAsGroup: 1000
        allowPrivilegeEscalation: false

关键注意事项 #

• 版本要求：这个特性仅在Kubernetes 1.18及以上版本可用，如果你的集群版本低于这个，那暂时还是得用su -c或者sudo这类方式（前提是容器内安装了对应工具，且目标用户有执行探针命令的权限）。
• 用户有效性：确保你指定的UID/GID在容器镜像中存在，或者至少拥有执行探针命令的文件权限，否则探针会因为权限不足而失败。
• 探针类型限制：这个方法只适用于exec类型的探针。对于HTTP/TCP探针来说，请求是由kubelet直接发起的，不需要在容器内启动进程，因此不存在用户身份的问题。

为什么这个方法比su -c更好？ #

• 更简洁：不需要在探针命令里嵌套复杂的切换逻辑，配置更清晰。
• 更安全：避免了su命令带来的潜在权限提升风险，allowPrivilegeEscalation: false可以进一步限制探针的权限范围。

内容的提问来源于stack exchange，提问作者Andy