Kubernetes非根用户运行MongoDB时KeyFile权限拒绝问题求助

首先，我们先拆解下你遇到的权限问题：你设置的defaultMode=256对应的是八进制权限0400，也就是文件权限为r--------——只有文件的所有者（默认是root，因为Kubernetes挂载Secret时默认以root身份创建文件）拥有读取权限，你的非根MongoDB用户自然无法读取，导致权限拒绝。

下面提供两种可行的解决方案，同时结合文件权限知识帮你理解：

方案1：利用Pod的fsGroup调整文件组权限（推荐） #

这种方法不需要额外的容器，直接通过Kubernetes的安全上下文配置解决：

• 确认MongoDB运行用户的GID
  先查你使用的MongoDB镜像中非根用户的组ID（GID），比如官方MongoDB镜像里的mongodb用户GID是999。你可以通过docker run --rm mongo id mongodb命令查看。

• 修改StatefulSet的Pod安全上下文
  在PodSpec中添加securityContext.fsGroup，指定为MongoDB用户的GID：

  spec:
    securityContext:
      fsGroup: 999  # 替换为你的MongoDB用户GID
    containers:
    - name: mongodb
      # 其他容器配置...
      securityContext:
        runAsUser: 999  # 你的非根用户UID
        runAsNonRoot: true
  

• 调整Secret的defaultMode
  将Secret的defaultMode从256（0400）改为288（对应八进制0440）：

  volumes:
  - name: mongodb-keyfile
    secret:
      secretName: your-keyfile-secret
      defaultMode: 288  # 八进制0440，所有者和组可读
  

原理解释 #

• fsGroup会让Pod中所有挂载的卷的文件组ID被设置为该值，这样Secret文件的组就变成了MongoDB用户的组。
• 0440权限保证只有所有者（root）和组用户（你的MongoDB用户）能读取KeyFile，符合MongoDB对KeyFile的权限要求（不允许其他用户读取）。

方案2：用InitContainer修改文件所有权 #

如果因为某些限制无法调整defaultMode，你可以通过InitContainer先修改KeyFile的所有者：

• 添加InitContainer到StatefulSet
  用root权限运行InitContainer，修改KeyFile的所有者后共享给主容器：

  spec:
    initContainers:
    - name: fix-keyfile-permissions
      image: mongo:latest  # 用和主容器一致的镜像即可
      command: ["sh", "-c", "chown mongodb:mongodb /tmp/keyfile/keyfile"]
      volumeMounts:
      - name: mongodb-keyfile-secret
        mountPath: /tmp/keyfile
      - name: mongodb-keyfile-shared
        mountPath: /shared-keyfile
    containers:
    - name: mongodb
      # 其他容器配置...
      volumeMounts:
      - name: mongodb-keyfile-shared
        mountPath: /data/keyfile  # 替换为MongoDB期望的KeyFile路径
        subPath: keyfile
    volumes:
    - name: mongodb-keyfile-secret
      secret:
        secretName: your-keyfile-secret
        defaultMode: 256  # 保持原来的0400权限
    - name: mongodb-keyfile-shared
      emptyDir: {}
  

原理解释 #

• InitContainer以root身份运行，有权限修改Secret文件的所有者为MongoDB用户。
• 通过emptyDir卷将修改后的KeyFile共享给主容器，主容器的非根用户拥有该文件的所有权，自然能读取0400权限的文件。

补充：文件权限基础知识 #

• 十进制权限转八进制：比如256 = 48² + 08¹ + 08⁰ = 0400，对应权限位r--------；288 = 48² +48¹ +08⁰=0440，对应r--r-----。
• MongoDB对KeyFile的要求：必须保证文件不能被其他用户（other权限位）读取，所以0400、0600、0440都是合法的，只要other位没有r权限即可。

内容的提问来源于stack exchange，提问作者cfann61