GCP多主OpenShift模板应用构建时tar权限拒绝错误解决咨询

安全阿岳

2026-5-19

解决OpenShift构建阶段tar: /tmp: Cannot open: Permission denied错误

我之前在GCP上部署多主节点OpenShift时也碰到过一模一样的问题，换了好几个模板都卡在这里，后来排查出几个常见的原因和解决办法，你可以挨个试试：

临时让构建容器以root用户运行
OpenShift默认会用随机受限用户执行构建，很多官方镜像的/tmp目录权限设置严格，普通用户没法写入。你可以在构建配置里添加securityContext，临时切换到root用户完成构建（这只影响构建阶段，不会改变应用运行时的权限）：
```
strategy:
  sourceStrategy:
    from:
      kind: ImageStreamTag
      name: nodejs:18
    securityContext:
      runAsUser: 0
```
要是用Web控制台操作，直接在构建配置的"Security Context"选项里勾选"Run as root"就行。
调整项目的SCC权限
确保你的项目有权限使用anyuid安全上下文约束（尽量别用privileged，权限太大）。执行下面的命令给构建服务账号添加权限：
```
oc adm policy add-scc-to-user anyuid -z builder -n <你的项目名称>
```
完成后重新触发构建，看看问题是否解决。
检查GCP存储卷的挂载权限
如果构建过程用到了持久化存储卷（PVC）挂载到/tmp或相关目录，要确认存储卷的权限允许OpenShift构建用户写入。可以查看PV的配置，或者手动调整权限：
```
oc patch pv <你的PV名称> -p '{"spec":{"accessModes":["ReadWriteMany"]}}'
```
手动指定构建临时目录
很多构建工具支持通过环境变量指定临时目录，你可以在构建配置里添加TMPDIR变量，指向OpenShift镜像默认开放的可写目录：
```
env:
  - name: TMPDIR
    value: "/opt/app-root/tmp"
```
修复镜像本身的目录权限
如果你用的是自定义镜像，可能镜像里的/tmp目录权限没开放给其他用户。可以拉取镜像修改权限后重新推送：
```
docker pull <你的镜像地址>
docker run -it <你的镜像地址> chmod 777 /tmp
docker commit <容器ID> <新镜像名称>
docker push <新镜像名称>
```
之后用修改后的镜像重新发起构建。