fsGroup 解决挂载目录权限

Pod 级 securityContext.fsGroup 让 kubelet 调整卷的属组并赋予组读写位，解决非 root 容器写不进卷的问题。

Kubernetes 速查云更新于 2026-10-12

fsGroup 示例

spec:
  securityContext:
    runAsUser: 1000
    runAsGroup: 1000
    fsGroup: 2000
    fsGroupChangePolicy: OnRootMismatch
  containers:
    - name: app
      image: registry.example.com/app:1.26.0
      volumeMounts:
        - name: data
          mountPath: /var/lib/app

验证

kubectl exec -it web-x -- id
kubectl exec -it web-x -- ls -ldn /var/lib/app

OnRootMismatch 只在根目录属组不符时递归调整，比 Always 开销小；hostPath 卷不受 fsGroup 管理。

易错点

hostPath 卷上 fsGroup 不生效，节点目录权限要另行准备
大卷上 Always 递归 chown 会拖慢 Pod 启动，考虑 OnRootMismatch 或预制属组

数据来源与参考

Kubernetes 官方文档 · 为 Pod 配置安全上下文（fsGroup）

继续搜索

常用关键词：3389 traceroute iptables 子网掩码 docker

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌