如何在Kubernetes集群的Pod中访问所有节点的主机文件系统

针对你的场景——3节点集群（N1、N2、N3）每个节点跑一个StatefulSet实例，想让请求抵达的Pod能访问所有节点的/etc目录，我整理了几个实用的解决方案，结合你的场景具体说明：

方案一：HostPath挂载 + StatefulSet稳定Pod标识访问 #

这是最贴合你现有StatefulSet部署的方案，核心思路是：

1. 让每个StatefulSet Pod通过HostPath挂载所在节点的/etc目录到Pod内部
2. 利用StatefulSet Pod的稳定网络域名，让任意Pod能直接访问其他节点对应的Pod，从而获取该节点的/etc数据

具体操作步骤 #

1. 修改StatefulSet配置，添加HostPath挂载

在你的StatefulSet YAML中，给容器添加Volume挂载，把节点的/etc挂载到Pod内的/node-etc目录（可自定义路径）：

apiVersion: apps/v1
kind: StatefulSet
metadata:
  name: node-etc-accessor
spec:
  serviceName: "node-etc-service"
  replicas: 3
  selector:
    matchLabels:
      app: etc-accessor
  template:
    metadata:
      labels:
        app: etc-accessor
    spec:
      nodeSelector:  # 确保每个节点跑一个实例，可根据你的节点标签调整
        kubernetes.io/os: linux
      volumes:
      - name: node-etc
        hostPath:
          path: /etc
          type: Directory  # 指定挂载目录类型
      containers:
      - name: etc-server
        image: nginx:alpine
        ports:
        - containerPort: 80
        volumeMounts:
        - name: node-etc
          mountPath: /usr/share/nginx/html  # 用nginx把/etc内容作为静态文件暴露
          readOnly: true  # /etc大多是只读文件，设置只读更安全

这里用nginx作为简单的文件服务，把挂载的节点/etc目录作为静态资源根目录，这样其他Pod可以通过HTTP访问该节点的/etc内容。

2. 访问其他节点的/etc数据

当请求到达N2对应的Pod（假设StatefulSet的Pod命名为node-etc-accessor-1）时，你可以直接通过StatefulSet的稳定域名访问其他节点的Pod：

• 访问N1节点的/etc：curl http://node-etc-accessor-0.node-etc-service.default.svc.cluster.local
• 访问N3节点的/etc：curl http://node-etc-accessor-2.node-etc-service.default.svc.cluster.local

StatefulSet的Pod域名规则是：[pod-name].[service-name].[namespace].svc.cluster.local，只要你的Service配置正确（ClusterIP类型即可），就能跨Pod访问。

方案二：DaemonSet代理 + 节点IP访问 #

如果不想依赖StatefulSet的Pod间通信，也可以部署一个DaemonSet（每个节点跑一个实例），专门负责暴露节点的/etc目录，然后任意Pod通过节点IP+端口访问：

具体操作 #

1. 部署DaemonSet，挂载节点/etc并启动文件服务：

apiVersion: apps/v1
kind: DaemonSet
metadata:
  name: node-etc-proxy
spec:
  selector:
    matchLabels:
      app: etc-proxy
  template:
    metadata:
      labels:
        app: etc-proxy
    spec:
      containers:
      - name: proxy
        image: nginx:alpine
        ports:
        - containerPort: 8080
        volumeMounts:
        - name: node-etc
          mountPath: /usr/share/nginx/html
          readOnly: true
      volumes:
      - name: node-etc
        hostPath:
          path: /etc
          type: Directory

2. 在任意Pod中，通过节点IP+8080端口访问对应节点的/etc：
   比如N2pod要访问N1的/etc，假设N1的节点IP是192.168.1.10，直接执行：curl http://192.168.1.10:8080

这个方案的好处是不需要依赖StatefulSet的网络标识，直接通过节点IP访问，但需要提前获取所有节点的IP信息。

方案三：Kubernetes API + Kubelet文件访问（需注意安全） #

Kubelet本身提供了访问节点文件系统的接口（/var/log和/etc等路径需要授权），你可以在Pod中通过Kubernetes API调用kubelet的接口来获取节点/etc内容：

1. 给Pod绑定足够的权限（比如Node权限）
2. 在Pod中调用kubelet的API：curl --cacert /var/run/secrets/kubernetes.io/serviceaccount/ca.crt -H "Authorization: Bearer $(cat /var/run/secrets/kubernetes.io/serviceaccount/token)" https://<node-ip>:10250/api/v1/nodes/<node-name>/proxy/files/etc/

不过这个方案涉及到敏感权限的授予，生产环境需要谨慎评估安全风险，不推荐作为常规方案。

注意事项 #

• 所有方案中，挂载/etc时尽量设置readOnly: true，避免Pod误修改节点的系统配置
• 要确保Pod有足够的权限读取/etc目录下的文件（部分文件可能需要root权限，可给容器设置securityContext: { runAsUser: 0 }）

内容的提问来源于stack exchange，提问作者Rakshith Venkatesh