GitLab集成Kubernetes安装Helm Tiller报错：无法打开apk数据库（权限拒绝）

我正在使用OpenShift Origin配置Kubernetes集群，添加集群配置后尝试安装Helm Tiller，此时OpenShift上已创建“gitlab-managed-apps”命名空间，但出现以下错误：

安装Helm Tiller时出错
ERROR: Unable to lock database: Permission denied ERROR: Failed to open apk database: Permission denied

我之前在OpenShift环境部署Helm Tiller时碰过一模一样的权限报错，这个问题根源是Tiller容器运行的用户没有权限访问apk包管理的数据库文件。给你几个实测有效的解决思路：

1. 给Tiller服务账号绑定anyuid安全上下文约束（SCC） #

OpenShift默认的SCC会严格限制容器的权限，Tiller默认运行的用户没有写入apk数据库目录的权限。你可以通过绑定anyuid SCC来解决：

• 先确认gitlab-managed-apps命名空间下的Tiller服务账号（通常是tiller）：

  oc get sa -n gitlab-managed-apps
  

• 绑定anyuid SCC到该服务账号：

  oc adm policy add-scc-to-user anyuid -z tiller -n gitlab-managed-apps
  

• 删除现有Tiller pod让它自动重启生效：

  oc delete pod -l app=tiller -n gitlab-managed-apps
  

2. 自定义Tiller部署的SecurityContext #

如果不想使用权限较高的anyuid SCC，也可以直接修改Tiller的部署配置，调整容器的运行权限：

• 编辑Tiller的deployment资源：

  oc edit deployment tiller-deploy -n gitlab-managed-apps
  

• 在容器配置部分添加securityContext，让容器以root用户运行：

  spec:
    template:
      spec:
        containers:
        - name: tiller
          # 其他配置保持不变
          securityContext:
            runAsUser: 0
            privileged: true
  

• 保存配置后，OpenShift会自动重启Tiller pod，此时再检查安装是否正常。

3. 确认Tiller服务账号的集群权限 #

有时候权限问题也可能是Tiller没有足够的集群级权限导致的，你可以给它添加cluster-admin角色：

oc adm policy add-cluster-role-to-user cluster-admin -z tiller -n gitlab-managed-apps

额外建议：考虑升级到Helm 3 #

Helm 3已经完全移除了Tiller组件，不需要再部署Tiller就能使用Helm，这会避免很多OpenShift上的权限冲突问题。如果你的场景允许，直接升级到Helm 3会是更省心的方案。

内容的提问来源于stack exchange，提问作者Mutaz Nassar