初始提交：DSH 多租户平台（dshs）

deploy/08-bootstrap.yaml

@@ -0,0 +1,37 @@
+# 一次性权限提升 Job：把共享 RWX PVC 根 chmod 1777（world-writable + sticky），
+# 让后续各用户的非 root initContainer 能在根下建自己的 <userId>/ 目录
+# （docs/k8s.md §4.9 第 1 步）。initContainer 挂的是 PVC **根**，不做 subPath。
+#
+# ⚠️ 只在 namespace 打 PSA restricted **之前** apply（见 07-psa.yaml 头注释）。
+# 跑完可删，或留着（restartPolicy Never + 一次性效果，幂等）。
+#
+# 用控制面镜像（node:22-slim，已推 ACR）而非 busybox：集群拉不动 docker.io。
+apiVersion: batch/v1
+kind: Job
+metadata:
+  name: dsh-users-bootstrap
+  namespace: dsh
+spec:
+  ttlSecondsAfterFinished: 300
+  template:
+    spec:
+      restartPolicy: Never
+      automountServiceAccountToken: false
+      imagePullSecrets:
+        - name: dsh-acr-pull
+      containers:
+        - name: chmod-root
+          image: registry.example.com/dsh/dshs:0.2.0
+          command: ["sh", "-c", "chmod 1777 /mnt"]
+          securityContext:
+            runAsUser: 0   # 需 root 才能 chmod；本 Job 跑在 PSA restricted 之前
+            allowPrivilegeEscalation: false
+            capabilities:
+              drop: ["ALL"]
+          volumeMounts:
+            - name: data-root
+              mountPath: /mnt
+      volumes:
+        - name: data-root
+          persistentVolumeClaim:
+            claimName: dsh-users