Kubernetes Pod挂载卷不回写主机的配置方案咨询

这个需求完全可以通过K8s原生能力实现，不需要额外的插件、特殊权限，完全兼容现有通过kubectl apply -f deployment.yaml部署的流程。
常规直接使用hostPath将宿主机/users目录挂载到Pod内/data的方式，是双向同步通道，Pod内对/data的所有读写都会直接落到宿主机对应目录，完全达不到隔离要求，但通过分层隔离的挂载设计，可以从根源切断回写链路。

不要直接把宿主机目录映射为/data的实际存储，而是做两层解耦：

• 将宿主机/users目录以强制只读模式挂载到Pod内的临时路径（比如/initial-source），从挂载层面禁止所有容器对该路径的写入操作，物理上断绝修改宿主机文件的可能
• 定义一个和Pod生命周期绑定的emptyDir临时卷，作为/data路径的实际存储载体，所有运行时读写都只在这个临时卷内生效，和宿主机目录没有直接关联
• 用initContainer在业务容器启动前，把临时只读路径下的宿主机原始文件，全量拷贝到临时卷对应的/data目录，保证业务启动时拿到和宿主机目录一致的初始内容

不需要改动原有deployment的业务配置，只需要补充以下部分即可直接通过kubectl apply生效：

1. 定义Pod级别的存储卷

spec:
  template:
    spec:
      volumes:
        # 只读挂载宿主机源目录，作为初始内容读取来源
        - name: host-source-ro
          hostPath:
            path: /users
            type: Directory
        # 临时可写卷，承载/data路径的所有运行时操作
        - name: pod-data-tmp
          emptyDir:
            # 对性能有要求时可配置为内存介质，完全不占用宿主机磁盘的正式目录空间
            medium: Memory

2. 配置initContainer完成初始文件拷贝

initContainers:
        - name: copy-initial-files
          image: busybox:1.36
          command:
            - sh
            - -c
            - cp -a /source/. /data/
          volumeMounts:
            # 双重保险，强制只读宿主机源路径
            - name: host-source-ro
              mountPath: /source
              readOnly: true
            # 挂载临时卷作为拷贝目标
            - name: pod-data-tmp
              mountPath: /data

3. 业务容器直接挂载临时卷到/data路径

containers:
        - name: your-business-app
          # 原有业务镜像、端口、资源配置完全保持不变
          volumeMounts:
            - name: pod-data-tmp
              mountPath: /data

• Pod启动完成后，/data路径的初始内容和宿主机/users目录的原始内容完全一致，满足业务读取初始文件的需求
• 业务运行中对/data的所有增删改操作，全部落在emptyDir临时卷上，和宿主机/users目录没有任何写入通道，完全不会回写宿主机目录
• 当Pod重启、漂移、销毁重建时，临时卷会被自动清空，下次启动时会重新读取宿主机最新的/users目录内容完成初始化，不会残留上一个Pod实例的修改内容
• 全程不需要调整宿主机的目录权限，也不依赖特殊集群组件，配置变更可直接通过kubectl命令应用生效。

内容的提问来源于stack exchange，提问作者zLupim