需解决的问题：

容器启动的时候，我们希望通过容器以外传入一些参数、配置、初始化数据；

容器重启的时候，我们希望能保存运行中的一些数据；

解决方案：

为容器添加挂载存储卷。

随之带来的问题：

某些时候，我们可能需要针对不同的容器，挂载一个存储卷的不同子目录，以达到控制权限等目的。比如将用户数据放在一个NFS文件系统上，不同的用户区分不同的子目录。

如果每个用户的容器，都直接挂载了整个NFS，同时又不能封禁容器的外网访问，那么这样是不安全的，如果被反弹Shell之后，会存在安全隐患。

我们可以通过subPath来解决这个问题。

以NFS类型的Volume为例，我们nas的目录放在所有的文件，而我们只想把nas下的某个文件，挂载到pod中，其它的路径全部让pod不可见。

apiVersion: extensions/v1beta1

kind: Deployment

metadata:

name: pic

namespace: platform

spec:

replicas: 1

selector:

matchLabels:

app: pic

template:

metadata:

labels:

app: pic

spec:

containers:

- name: pic

image: registry.cn-shanghai.aliyuncs.com/xxxxx

imagePullPolicy: Always

resources:

limits:

memory: 2Gi

ports:

- containerPort: 20341

volumeMounts:

- name: pvc-nas-platform                # 1.1 引用定义的volume。

mountPath: "/home/picserver/seal"    # 1.2 pod的中的路径

subPath: seal                        # 1.3 子路径 (这路基代表存储卷下面的seal子目录)

volumes:

- name: pvc-nas-platform        # 定义的volume的名称， 在volumeMounts中同名使用

persistentVolumeClaim:

claimName: pvc-nas-platform    # 存储卷名称，这里直接饮用

imagePullSecrets:

- name: ms-secret                # 拉镜像的秘钥