Google Container Engineに非ルートユーザーを配備したDockerコンテナは、マウントされたGCEに書き込むことができません。永続ディスク

Question

私はkubernetesとGoogleコンテナエンジン（GKE）で遊んでいます。

私はこれは私の複製コントローラである。このイメージからjupyter/all-spark-notebook

をコンテナを展開：あなたは、私はGoogleのCompute Engineの永続ディスクをマウント見ることができるように

{ 
    "apiVersion": "v1", 
    "kind": "ReplicationController", 
    "metadata": { 
    "name": "datalab-notebook" 
    }, 
    "spec": { 
    "replicas": 1, 
    "selector": { 
     "app": "datalab-notebook" 
    }, 
    "template": { 
     "metadata": { 
     "name": "datalab-notebook", 
     "labels": { 
      "environment": "TEST", 
      "app": "datalab-notebook" 
     } 
     }, 
     "spec": { 
     "containers": [{ 
      "name": "datalab-notebook-container", 
      "image": "jupyter/all-spark-notebook", 
      "env": [], 
      "ports": [{ 
      "containerPort": 8888, 
      "name": "datalab-port" 
      }], 
      "volumeMounts": [{ 
      "name": "datalab-notebook-persistent-storage", 
      "mountPath": "/home/jovyan/work" 
      }] 
     }], 
     "volumes": [{ 
      "name": "datalab-notebook-persistent-storage", 
      "gcePersistentDisk": { 
      "pdName": "datalab-notebook-disk", 
      "fsType": "ext4" 
      } 
     }] 
     } 
    } 

    } 
} 

。私の問題は、コンテナが非rootユーザーを使用し、マウントされたディスクがrootによって所有されていることです。私のコンテナはディスクに書き込むことができません。

• GCE永続ディスクをマウントし、root以外のユーザーのいないコンテナに対して読み書きできる方法はありますか？
• もう1つの一般的な質問：Google Container Engineでルートユーザーでコンテナを実行するのは安全ですか？

は、root以外のユーザーでGCEのPD書き込み可能にするために、ポッドのセキュリティコンテキストのFSGroupフィールドを使用することができ、あなたの入力のために事前に

Answer 1

私は同じ問題に遭遇しました。私が使用した回避策は、コンテナが実行されていたホストマシン上でdf -hを実行することでした。そこから永続ストレージのバインドポイントを見つけることができました。それは/var/lib/kubelet/plugins/kubernetes.io/gce-pd/mounts/<pd-name>のように見えるはずです。また、ルートにマウントされていない/devで始まるファイルシステムを持つものの1つになります。

ホストボックスからsudo chmod -R 0777 /var/lib/kubelet/plugins/kubernetes.io/gce-pd/mounts/<pd-name>を実行しても、今度はコンテナがそのディレクトリを使用できるようになりましたが、ファイルは引き続きrootによって所有されます。

Answer 2

、ありがとうございました。この例では

、GCEのボリュームは、グループ1234によって所有され、コンテナプロセスは、補足グループのリストに1234を持っています：

apiVersion: v1 
kind: Pod 
metadata: 
    name: test-pd 
spec: 
    securityContext: 
    fsGroup: 1234 
    containers: 
    - image: gcr.io/google_containers/test-webserver 
    name: test-container 
    volumeMounts: 
    - mountPath: /test-pd 
     name: test-volume 
    volumes: 
    - name: test-volume 
    # This GCE PD must already exist. 
    gcePersistentDisk: 
     pdName: my-data-disk 
     fsType: ext4