Distroless 的 Fluent Bit 容器里如何执行脚本？

Distroless 镜像通常包含应用及必要运行依赖，但没有通用 shell/包管理器——没有兼容解释器，shell 脚本无法直接执行。三种出路：自制镜像加入经验证可运行的 shell 和脚本、换 Alpine 等带 shell 的基础镜像、或把初始化逻辑挪到 K8s initContainer。

方案一：自制镜像加入兼容 shell

FROM fluent/fluent-bit:<固定版本>
# busybox-static 须预先确认目标架构与静态链接属性
COPY busybox-static /bin/busybox
COPY entrypoint.sh /entrypoint.sh
ENTRYPOINT ["/bin/busybox", "sh", "/entrypoint.sh"]

不要假设任意 BusyBox 镜像的 /bin/sh 都是可独立复制的静态文件；它可能是符号链接或依赖动态加载器。这里提供的是 sh，不是 bash，脚本还应以 exec 启动 Fluent Bit。

方案二：换带包管理器的基础镜像

FROM alpine:3.19
# 先核对所选 Alpine 版本/架构仓库是否提供该包；否则按官方构建安装
RUN apk add --no-cache fluent-bit
COPY entrypoint.sh /entrypoint.sh
ENTRYPOINT ["/bin/sh", "/entrypoint.sh"]

镜像略大但获得完整 shell 与 apk 生态，调试方便。

方案三：K8s initContainer（推荐）

需要"启动前先处理点事"（渲染配置、等待依赖）的场景，K8s 原生解法：

initContainers:
  - name: init-config
    image: busybox
    command: ['sh', '-c', 'printf "[SERVICE]\n    Flush 1\n[INPUT]\n    Name dummy\n[OUTPUT]\n    Name stdout\n    Match *\n" > /shared/fluent-bit.conf']
    volumeMounts: [{name: shared, mountPath: /shared}]
containers:
  - name: fluent-bit
    image: fluent/fluent-bit
    volumeMounts: [{name: shared, mountPath: /fluent-bit/etc}]
volumes:
  - name: shared
    emptyDir: {}

这是 Pod spec 中的片段；镜像应固定已验证版本。BusyBox 不保证包含 envsubst，需要模板渲染时必须安装该程序并挂载模板。

主容器保持较少工具的运行环境，初始化在 init 容器完成。

常见问题（FAQ）

Q：为什么官方用 distroless？ 减少不需要的软件和工具可缩小攻击面，但没有 shell 不代表应用无法被利用或容器不会被攻破。

Q：临时排障想进容器怎么办？ kubectl debug 挂一个临时调试容器，或用 crictl 在节点上检查文件系统。