在Openshift/Kubernetes上将Opentelemetry-operator以非root用户运行

53次阅读

问题描述

在Openshift/Kubernetes上使用Opentelemetry-operator时，希望将其以非root用户的身份运行在根目录下。他需要修改权限，将 /javaagent.jar 的权限改为非root用户。他的流水线是以BuildConfig的方式运行的。他尝试过一些方法，但在Openshift上运行时出现问题。

解决方案

请注意以下操作可能因版本差异而有所不同，请在执行操作前做好备份。

在Openshift/Kubernetes上运行容器时，涉及到容器的安全策略和权限限制。要在Opentelemetry-operator中实现以非root用户运行，并在复制 javaagent.jar 到主容器之前修改权限，可以尝试以下解决方案：

使用Init Containers

在这种情况下，您可以使用Init Containers来完成文件复制和权限修改的操作。Init Containers是在主容器之前运行的一种特殊类型的容器，可以用于准备所需的文件、配置等。

以下是步骤示例：

修改Dockerfile以适应您的需求，类似于您之前尝试过的方法。请确保您的Dockerfile类似于以下示例：

FROM busyboxARG version=1.22.1
USER root
RUN adduser app --disabled-password
ADD --chown=app:root javaagent.jar /javaagent.jar
RUN chmod -R go+r /javaagent.jar
USER app

在您的Deployment或Pod配置中添加一个Init Container，用于准备 javaagent.jar 并修改权限。以下是一个示例的Pod配置：

apiVersion: v1
kind: Pod
metadata:
  name: your-pod-name
spec:
  containers:
    - name: main-container
      image: your-main-container-image
      # 主容器配置...
  initContainers:
    - name: prepare-javaagent
      image: busybox:latest
      command: ["sh", "-c", "cp /path/to/javaagent.jar /javaagent.jar && chmod go+r /javaagent.jar"]
      volumeMounts:
        - name: shared-volume
          mountPath: /path/to   # 这是将文件从Init Container复制到主容器的目标路径
  volumes:
    - name: shared-volume
      emptyDir: {}

在上面的示例中，我们添加了一个名为 prepare-javaagent 的Init Container。它使用Busybox镜像，并通过cp命令将 javaagent.jar 复制到所需的目录，并使用chmod修改文件权限。然后，主容器可以从相同的目录访问此文件。

注意事项

在上述示例中，需要将路径 /path/to 替换为您希望文件被复制到的路径。
如果Init Container和主容器之间共享相同的卷（如上面示例的 shared-volume），那么Init Container中的更改将在主容器中可见。
请确保容器中所需的目标目录存在，并且具有适当的权限。
考虑使用适当的镜像和版本，以满足您的需求和安全策略。