Kubernetes设置runAsNonRoot后Pod启动失败，提示无法验证非根用户

这个报错的核心原因很明确——Kubernetes的runAsNonRoot校验逻辑，在遇到镜像里用用户名（比如你的appuser）指定运行用户时，没办法直接确认这个用户对应的UID是不是非root（也就是≠0）。哪怕你在镜像里确实创建了这个用户并设置了非root的UID，kubelet在预检查阶段还是会因为无法解析用户名到UID而抛出这个错误。

下面给你几个可行的解决方案，按需选择：

方案1：修改Dockerfile，用UID而非用户名指定运行用户 #

这是最直接的解决方式，在构建镜像的最后一步，把USER appuser改成USER 999（也就是你给appuser设置的UID）。这样Kubernetes直接就能拿到数值型的用户ID，不需要做解析，自然能通过runAsNonRoot的校验。

示例Dockerfile片段：

# 保留你原来的创建用户步骤
RUN groupadd -g 999 appgroup && useradd -r -u 999 -g appgroup appuser
# 替换原来的USER指令为UID
USER 999

方案2：在Pod配置里显式指定runAsUser和runAsGroup #

如果不想修改镜像，可以在Pod的spec里强制指定运行用户的UID和GID，这样Kubernetes会优先使用你指定的数值，跳过对镜像中用户名的解析校验。

示例Pod YAML片段：

spec:
  securityContext:
    runAsUser: 999
    runAsGroup: 999
    runAsNonRoot: true
  containers:
  - name: your-container-name
    image: your-image:tag
    # 其他容器配置项

方案3：调整PodSecurityPolicy的runAsUser规则 #

如果你的PodSecurityPolicy里runAsUser的规则是MustRunAs但没有覆盖到你的999 UID，或者规则配置不合理，可能需要调整规则确保允许使用这个非root UID。

示例PodSecurityPolicy片段：

apiVersion: policy/v1beta1
kind: PodSecurityPolicy
metadata:
  name: your-psp-name
spec:
  runAsNonRoot: true
  runAsUser:
    rule: MustRunAs
    ranges:
    - min: 1
      max: 65535
  # 其他PSP必要配置（比如privileged: false、allowedCapabilities等）

额外提醒：如果你的镜像基于distroless这类精简基础镜像，要确保/etc/passwd文件里确实存在appuser的条目——不过你已经手动创建了用户，这一步应该已经满足，但可以在镜像构建时额外确认下。

内容的提问来源于stack exchange，提问作者user1819071