GKE持久卷挂载问题：动态存储权限不足，手动创建资源求助

嘿，我帮你搞定这个GKE持久化存储的权限问题，结合你手动创建StorageClass、PV和PVC的需求，给你梳理清楚排查和解决的思路：

你遇到的动态PV权限不足，通常是因为GKE节点的服务账号（SA）缺少操作GCE云磁盘的权限。既然你转成手动创建存储资源，那得确保手动配置的资源没有权限不匹配、跨区等问题，同时补全节点SA的必要权限。

先给你补全正确的StorageClass、PersistentVolume（PV）和PersistentVolumeClaim（PVC）配置，你可以对照调整：

1. StorageClass 配置 #

kind: StorageClass
apiVersion: storage.k8s.io/v1
metadata:
  name: documentation-7-x-storageclass
  labels:
    product: "documentation-7-x"
provisioner: kubernetes.io/gce-pd
parameters:
  type: pd-standard
  zone: europe-west1-b
reclaimPolicy: Retain  # 可选，按需选Retain（保留磁盘）或Delete（删除磁盘）
volumeBindingMode: Immediate

2. PersistentVolume 配置 #

注意：手动创建PV前，你需要先在GCP控制台或用gcloud命令创建好对应的GCE磁盘，并且磁盘要和集群在同一个可用区（europe-west1-b）：

apiVersion: v1
kind: PersistentVolume
metadata:
  name: documentation-7-x-pv
  labels:
    product: "documentation-7-x"
spec:
  storageClassName: documentation-7-x-storageclass  # 关联上面的StorageClass
  capacity:
    storage: 10Gi  # 必须和你创建的GCE磁盘容量一致
  accessModes:
    - ReadWriteOnce  # GCE标准磁盘只支持单节点读写
  gcePersistentDisk:
    pdName: my-manual-gce-disk  # 替换成你实际创建的GCE磁盘名称
    fsType: ext4  # 常用文件系统类型，按需调整

3. PersistentVolumeClaim 配置 #

apiVersion: v1
kind: PersistentVolumeClaim
metadata:
  name: documentation-7-x-pvc
  labels:
    product: "documentation-7-x"
spec:
  storageClassName: documentation-7-x-storageclass
  accessModes:
    - ReadWriteOnce
  resources:
    requests:
      storage: 10Gi  # 要和PV的容量匹配，否则无法绑定

• 给GKE节点SA绑定必要角色：GKE节点需要roles/compute.storageAdmin权限才能操作GCE磁盘，执行以下命令（替换成你的项目ID和项目编号）：

  gcloud projects add-iam-policy-binding YOUR_PROJECT_ID \
    --member=serviceAccount:YOUR_PROJECT_NUMBER-compute@developer.gserviceaccount.com \
    --role=roles/compute.storageAdmin
  

  你可以通过gcloud projects describe YOUR_PROJECT_ID获取项目编号。

• 确保Pod用户有磁盘读写权限：如果挂载后应用还是提示权限不足，在Pod配置里添加securityContext，让应用运行用户/组拥有磁盘目录的权限：

  spec:
    securityContext:
      runAsUser: 1000  # 替换成你的应用实际运行的用户ID
      fsGroup: 1000    # 让这个组拥有磁盘目录的读写权限
    containers:
    - name: your-app-container
      volumeMounts:
      - name: storage-volume
        mountPath: /path/to/mount
    volumes:
    - name: storage-volume
      persistentVolumeClaim:
        claimName: documentation-7-x-pvc
  

依次执行以下命令检查状态：

• 查看PV状态：kubectl get pv，确保状态为Available或Bound
• 查看PVC状态：kubectl get pvc，确保状态为Bound
• 查看Pod挂载情况：kubectl describe pod YOUR_POD_NAME，检查Events部分是否有挂载成功的日志

内容的提问来源于stack exchange，提问作者Yvonne Arnoldus