对于不想编辑的Tomcat Docker映像，当不以ROOT身份运行时，如何写入ROOT拥有的目录？

Question

我有一个docker映像，我正在尝试使用K8S运行它。我可以让它在我的家庭环境中运行，但不能在我的工作环境中运行，因为我们不能在k8集群上以root身份运行。

docker映像是一个Tomcat服务器,其中包含一个WAR文件：

/usr/local/tomcat/webapps/root.war

在启动期间，Tomcat试图将战争分解到以下目录中：

/usr/local/tomcat/webapps/root

但它不能这样做，因为/usr/local/tomcat/webapps/由root所有。

所以我认为最好的解决方法是用emptyDir{}装入一个卷，如下所示：

apiVersion: v1
kind: Pod
metadata:
  name: test-pd
spec:
  containers: 
    ...
    name: test-container
    volumeMounts:
    - mountPath: //usr/local/tomcat/webapps/ROOT
      name: tomcat
  volumes:
  - name: tomcat
    emptyDir: {}

但这并不起作用，因为它只是在webapps下创建了一个空的根文件夹，Tomcat无法对其发起战争，因为它希望自己创建根文件夹。

我也试过这个：

    volumeMounts:
    - mountPath: //usr/local/tomcat/webapps
      name: tomcat

但现在/webapps只是一个空文件夹，因为我假设我正在覆盖容器启动时为我设置的内容。

我显然遗漏了一些基本的东西...我不想编辑图像，因为我相信一定有其他方法可以解决这个问题，我只是想让/tomcat/webapps可以被不是root的runAsUser写。

做这件事最好的方法是什么？

Answer 1

修复的简单方法是通过initcontainer:，但fsgroup:是更声明性的修复方法，只要集群的安全策略允许设置该字段

spec:
  initContainers:
  - name: chown
    image: docker.io/library/busybox:latest
    command:
    - chown
    - -R
    - whatever-the-uid-is-for-your-tomcat-image
    - /usr/local/tomcat/webapps/ROOT
    volumeMounts:
    - mountPath: /usr/local/tomcat/webapps/ROOT
      name: tomcat
  containers:
  # ... as before