设置fsgroup,导致业务容器挂载文件属组被修改
问题描述
业务pod注入sidecar时设置fsgroup为1337,导致业务容器挂载文件属组被改成1337。
原因分析
因为k8s 版本bug:
https://github.com/kubernetes/kubernetes/issues/57923
https://github.com/istio/istio/pull/27367
在1.8.6-r2之前的版本会在sidecar注入时自动设置fsgroup为1337(此设置会导致挂载进业务容器的文件属组被改为1337)
解决方法
k8s 1.19以上版本解决了该问题,因此网格1.8.6-r2以上版本,如果集群为1.19以及以上版本,ASM会自动设置EnableLegacyFSGroupInjection 为false, 该配置控制sidecar注入时不设置fsgroup为1337,此修改会修正业务容器挂载文件属组被设置为1337的错误做法。若业务前期进行了对应适配,则需要改正回来。