如何在OpenShift中配置带凭证的共享文件夹以支持NodeJS文件写入？

我之前也碰到过完全一样的问题——本地调试时访问共享驱动器毫无问题，但部署到OpenShift后就因为容器隔离和权限限制写不了文件。下面是我亲测有效的几种配置方案，按推荐程度排序：

方案一：用Persistent Volume（PV）+ Persistent Volume Claim（PVC）挂载SMB/CIFS共享（生产环境首选） #

这是最符合OpenShift最佳实践的方式，通过集群级的存储配置来挂载共享文件夹，安全且易于管理。

1. 先创建存储共享凭证的Secret #

OpenShift需要安全存储共享文件夹的账号密码，我们用Secret来管理：

oc create secret generic smb-share-credentials \
  --from-literal=username=你的共享文件夹用户名 \
  --from-literal=password=你的共享文件夹密码 \
  # 如果是域环境，加上下面这行
  # --from-literal=domain=你的域名

2. 定义Persistent Volume（PV） #

创建一个smb-pv.yaml文件，描述你的共享存储信息：

apiVersion: v1
kind: PersistentVolume
metadata:
  name: smb-share-pv
spec:
  capacity:
    storage: 10Gi # 按需设置，不影响实际共享容量
  accessModes:
    - ReadWriteMany # 支持多容器读写
  persistentVolumeReclaimPolicy: Retain
  csi:
    driver: smb.csi.k8s.io
    volumeHandle: smb-share-vol # 自定义唯一标识
    volumeAttributes:
      source: "//共享服务器IP/共享文件夹路径"
    nodeStageSecretRef:
      name: smb-share-credentials
      namespace: 你的项目命名空间
  # 关键：设置fsGroup让容器进程拥有读写权限
  securityContext:
    fsGroup: 10001 # 替换成你的共享文件夹允许的GID，或OpenShift容器默认GID

执行命令创建PV：

oc apply -f smb-pv.yaml

3. 创建Persistent Volume Claim（PVC）绑定PV #

创建smb-pvc.yaml：

apiVersion: v1
kind: PersistentVolumeClaim
metadata:
  name: smb-share-pvc
  namespace: 你的项目命名空间
spec:
  accessModes:
    - ReadWriteMany
  resources:
    requests:
      storage: 10Gi # 和PV的capacity一致
  volumeName: smb-share-pv # 绑定上面创建的PV名称

执行命令创建PVC：

oc apply -f smb-pvc.yaml

4. 在NodeJS Deployment中挂载PVC #

修改你的Deployment配置，把PVC挂载到容器内的指定路径（比如/mnt/shared）：

apiVersion: apps/v1
kind: Deployment
metadata:
  name: your-nodejs-app
spec:
  template:
    spec:
      containers:
      - name: nodejs-container
        image: your-nodejs-image
        volumeMounts:
        - name: smb-share-volume
          mountPath: /mnt/shared # 容器内的挂载路径，NodeJS代码要写这个路径
      volumes:
      - name: smb-share-volume
        persistentVolumeClaim:
          claimName: smb-share-pvc

更新Deployment：

oc apply -f your-deployment.yaml

方案二：容器内直接挂载（仅用于快速测试，生产环境不推荐） #

如果只是临时测试，可以在容器内部直接挂载共享文件夹，但需要调整OpenShift的安全策略（有一定风险）：

1. 在Dockerfile中安装挂载工具 #

如果是自定义镜像，添加安装cifs-utils的步骤：

FROM node:18-alpine
RUN apk add --no-cache cifs-utils
# 其他镜像构建步骤...

2. 挂载Secret到容器内 #

修改Deployment，把之前创建的smb-share-credentials挂载到容器的某个路径：

# 在Deployment的containers字段下添加
volumeMounts:
- name: smb-secret-volume
  mountPath: /mnt/secrets
  readOnly: true
# 在volumes字段下添加
volumes:
- name: smb-secret-volume
  secret:
    secretName: smb-share-credentials

3. 添加初始化容器执行挂载命令 #

在Deployment中添加initContainer，在应用启动前完成挂载：

initContainers:
- name: mount-smb-share
  image: your-nodejs-image # 和应用容器用同一个镜像
  command: ["sh", "-c"]
  args:
  - mount -t cifs //共享服务器IP/共享文件夹路径 /mnt/shared -o username=$(cat /mnt/secrets/username),password=$(cat /mnt/secrets/password),vers=3.0
  volumeMounts:
  - name: smb-secret-volume
    mountPath: /mnt/secrets
  - name: smb-share-mount
    mountPath: /mnt/shared
  securityContext:
    privileged: true # 必须开启特权模式才能执行mount，生产环境慎用
volumes:
- name: smb-share-mount
  emptyDir: {} # 临时挂载点，实际数据存在共享文件夹

4. 注意调整Security Context Constraints（SCC） #

默认情况下OpenShift不允许特权容器，需要给你的服务账号添加privileged SCC：

oc adm policy add-scc-to-user privileged -z default -n 你的项目命名空间

关键注意事项 #

• NodeJS代码路径修改：把本地的共享驱动器路径（比如\\server\share）改成容器内的挂载路径（比如/mnt/shared）。
• 共享文件夹权限：确保共享文件夹允许OpenShift容器的UID/GID访问，如果不确定，可以临时设置共享文件夹权限为777测试，生产环境再调整为最小权限。
• SMB版本兼容：如果挂载失败，尝试在挂载参数中指定SMB版本（比如vers=2.1或vers=3.0），避免版本不兼容问题。

内容的提问来源于stack exchange，提问作者user7890278