需解决的问题：

容器启动的时候，我们希望通过容器以外传入一些参数、配置、初始化数据；
容器重启的时候，我们希望能保存运行中的一些数据；

解决方案：

为容器添加挂载存储卷。

随之带来的问题：

某些时候，我们可能需要针对不同的容器，挂载一个存储卷的不同子目录，以达到控制权限等目的。比如将用户数据放在一个NFS文件系统上，不同的用户区分不同的子目录。
如果每个用户的容器，都直接挂载了整个NFS，同时又不能封禁容器的外网访问，那么这样是不安全的，如果被反弹Shell之后，会存在安全隐患。
我们可以通过subPath来解决这个问题。

以NFS类型的Volume为例，我们nas的目录放在所有的文件，而我们只想把nas下的某个文件，挂载到pod中，其它的路径全部让pod不可见。

apiVersion: extensions/v1beta1
kind: Deployment
metadata:
  name: pic
  namespace: platform
spec:
  replicas: 1
  selector:
    matchLabels:
      app: pic
  template:
    metadata:
      labels:
        app: pic
    spec:
      containers:
      - name: pic
        image: registry.cn-shanghai.aliyuncs.com/xxxxx
        imagePullPolicy: Always
        resources:
          limits:
            memory: 2Gi
        ports:
        - containerPort: 20341
        volumeMounts:
          - name: pvc-nas-platform                # 1.1 引用定义的volume。
            mountPath: "/home/picserver/seal"    # 1.2 pod的中的路径
            subPath: seal                        # 1.3 子路径 （这路基代表存储卷下面的seal子目录）    
      volumes:
        - name: pvc-nas-platform        # 定义的volume的名称， 在volumeMounts中同名使用
          persistentVolumeClaim:
            claimName: pvc-nas-platform    # 存储卷名称，这里直接饮用
      imagePullSecrets:
        - name: ms-secret                # 拉镜像的秘钥