Kubernetes Kind项目在Ubuntu 20.04上使用Podman创建集群失败问题分析

Kubernetes Kind（Kubernetes in Docker）是一个使用容器节点运行本地Kubernetes集群的工具。近期在Ubuntu 20.04系统上使用Podman创建Kind集群时出现了失败情况，本文将深入分析这一问题的技术背景和解决方案。

问题现象

当在Ubuntu 20.04系统（内核版本5.15.0-1056-azure及以上）上尝试使用Podman创建Kind集群时，会出现以下错误信息：

ERROR: failed to create cluster: command "podman run ..." failed with error: exit status 126
Command Output: WARNING: The same type, major and minor should not be used for multiple devices.
Error: OCI runtime error: chmod `run/shm`: Operation not supported

根本原因分析

这一问题源于Linux内核5.15.0-1056-azure版本引入的一个安全变更。该变更禁止了对符号链接的模式更改（mode changes of symlinks），这是内核安全加固的一部分。具体来说：

1. 内核补丁"attr: block mode changes of symlinks"禁止了对符号链接的模式修改操作
2. 在容器运行时环境中，crun（一个轻量级OCI容器运行时）尝试修改/run/shm目录权限时触发了这一限制
3. 虽然crun项目已经在1.9.1及以上版本修复了这一问题，但Ubuntu 20.04默认提供的crun版本（0.12.1）过于陈旧

影响范围

这一问题影响以下环境组合：

• 操作系统：Ubuntu 20.04
• 内核版本：5.15.0-1056-azure及以上
• 容器运行时：Podman使用crun作为底层运行时
• Kubernetes Kind版本：所有版本

值得注意的是，即使升级到Ubuntu 22.04（Jammy）或23.10（Mantic），其提供的crun版本（分别为0.17和1.8.5）仍然低于修复该问题所需的1.9.1版本。

解决方案

针对这一问题，社区采取了以下解决方案：

1. 在Kind的CI/CD流程中，手动下载并安装最新版本的crun（1.14.3或更高版本）
2. 替换系统默认的crun运行时
3. 确保Podman配置使用新安装的crun版本

这一解决方案已经通过Kind项目的Pull Request验证有效，能够恢复Podman在Ubuntu 20.04上的正常集群创建功能。

技术启示

这一案例为我们提供了几个重要的技术启示：

1. 容器生态系统的复杂性：容器技术栈涉及多个层级（内核、运行时、编排工具），问题可能出现在任何一层
2. 安全与兼容性的平衡：内核安全加固可能破坏上层应用的预期行为
3. 发行版软件包的滞后性：生产环境常用的LTS发行版往往无法及时提供最新软件包
4. 持续集成环境的脆弱性：CI/CD环境的基础镜像更新可能引入意外的兼容性问题

对于生产环境用户，建议在遇到类似问题时：

• 首先明确问题发生的具体环境和版本组合
• 了解上游项目的修复状态
• 评估临时解决方案的风险
• 考虑长期稳定的升级路径

通过这一案例的分析，我们可以更好地理解容器技术栈中各组件间的交互关系，以及如何系统性地解决这类跨层级的兼容性问题。