【k8s 使用笔记】 k8s挂载目录，子目录

Dear 丶 2023-02-18 08:26 3阅读 0赞

## 需解决的问题： ##

容器启动的时候，我们希望通过容器以外传入一些参数、配置、初始化数据；  
容器重启的时候，我们希望能保存运行中的一些数据；

## 解决方案： ##

为容器添加挂载存储卷。

## 随之带来的问题： ##

某些时候，我们可能需要针对不同的容器，挂载一个存储卷的不同子目录，以达到控制权限等目的。比如将用户数据放在一个NFS文件系统上，不同的用户区分不同的子目录。  
如果每个用户的容器，都直接挂载了整个NFS，同时又不能封禁容器的外网访问，那么这样是不安全的，如果被反弹Shell之后，会存在安全隐患。  
我们可以通过subPath来解决这个问题。

以NFS类型的Volume为例，我们nas的目录放在所有的文件，而我们只想把nas下的某个文件，挂载到pod中，其它的路径全部让pod不可见。

apiVersion: extensions/v1beta1
    kind: Deployment
    metadata:
      name: pic
      namespace: platform
    spec:
      replicas: 1
      selector:
        matchLabels:
          app: pic
      template:
        metadata:
          labels:
            app: pic
        spec:
          containers:
          - name: pic
            image: registry.cn-shanghai.aliyuncs.com/xxxxx
            imagePullPolicy: Always
            resources:
              limits:
                memory: 2Gi
            ports:
            - containerPort: 20341
            volumeMounts:
              - name: pvc-nas-platform                # 1.1 引用定义的volume。
                mountPath: "/home/picserver/seal"    # 1.2 pod的中的路径
                subPath: seal                        # 1.3 子路径 （这路基代表存储卷下面的seal子目录）    
          volumes:
            - name: pvc-nas-platform        # 定义的volume的名称， 在volumeMounts中同名使用
              persistentVolumeClaim:
                claimName: pvc-nas-platform    # 存储卷名称，这里直接饮用
          imagePullSecrets:
            - name: ms-secret                # 拉镜像的秘钥