k8s fsGroup

fsGroup 是 Kubernetes 中 securityContext 的一个字段，用于为 Pod 中的所有容器设置共享的文件系统组 ID（GID）。当你在 Pod 的 securityContext 中设置了 fsGroup，Kubernetes 会对挂载到 Pod 的 所有 volume（卷）中的文件和目录 设置该 GID，从而实现 容器中运行的进程可以以该组身份访问这些文件。

---

示例解释

securityContext:
  fsGroup: 472

这表示容器运行时，挂载进来的所有卷，其文件的属组（group ownership）会被设置为 GID 为 472 的组。同时，容器内的进程将以该组身份访问这些文件。

---

作用与场景

• 共享访问权限：容器内多个进程可能需要以相同的组身份访问文件系统，比如日志目录或数据库文件。

• 兼容已有数据卷的权限需求：如某些第三方镜像（例如 PostgreSQL、Prometheus、Grafana 等）要求特定的 GID 才能访问挂载卷的数据。

• 解决权限报错问题：挂载的卷默认属主可能与容器内运行的用户不一致，使用 fsGroup 可以避免 Permission denied 的问题。

---

具体行为

• 对于支持的 volume 类型（如 emptyDir、hostPath、PVC 等），Kubernetes 会在挂载时将其中的文件属组改为指定的 fsGroup。

• 该组权限通常包括读写权限（取决于文件权限位设置），例如：

  • rw-r----- 对应属主可读写，属组可读，其他无权限。

• 在容器中，如果运行的用户不是 root，但其 GID 是 fsGroup，也能访问这些文件。

---

注意事项

• fsGroup 不影响容器内以 root 身份运行的进程，它主要是为非 root 用户配置组访问权限。

• 某些卷插件（如 CSI 驱动）可能对 fsGroup 的支持不完整。

• 如果启用了 FSGroupChangePolicy: OnRootMismatch，则只有当挂载点的根目录属组不为 fsGroup 时才会更改。

---

总结

字段	功能简述
fsGroup	设置卷中文件的组 ID，使容器内用户有组访问权限

设置fsGroup: 472，意味着挂载卷的文件都会设为 GID=472，通常是为了兼容容器中运行程序对文件权限的要求。