最简单的方法可能是允许使用sudo运行keytool命令。
您可能需要在Dockerfile中安装sudo，然后设置/etc/sudoers以允许运行entrypoint.sh的用户运行该特定命令（无需密码）。
然后，您需要做的就是找到证书并运行

sudo keytool -keystore cacerts -storepass changeit -noprompt -trustcacerts -importcert -alias myservicecert -file /home/myuser/.myservice/certs/public.crt

单位：entrypoint.sh
或者，您可以在构建容器时安装一个脚本来设置证书并安装它，然后允许 that 与sudo一起运行。这样，如果有人获得容器的访问权限，您就不会添加更多证书

靶区; DR

可以将证书添加到initContainer中的密钥库。可以使用volume在initContainer和container之间共享密钥库。
在此示例中，我们将tls-secret作为Kubernetes Secret装载到Pod。tls-secret包含需要添加到密钥库的tls.crt。在将安全文件复制到volume（已装载到Pod的container）后，我们将证书添加到initContainer中的密钥库。

apiVersion: v1
kind: Pod
metadata:
  name: myapp
  labels:
    app: myapp
spec:
  containers:
  - name: myapp
    image: openjdk:8-jdk-slim-buster
    command:
    - bash
    - -c
    - |
      keytool -list -keystore /usr/local/openjdk-8/jre/lib/security/cacerts -alias local
      sleep infinity
    volumeMounts:
    - mountPath: /usr/local/openjdk-8/jre/lib/security
      name: cacerts
  initContainers:
  - name: init-cacerts
    image: openjdk:8-jdk-slim-buster
    command:
    - bash
    - -c
    - |
      cp -R /usr/local/openjdk-8/jre/lib/security/* /cacerts/
      keytool -import -noprompt -trustcacerts -alias local -file /security/tls.crt -keystore /cacerts/cacerts -storepass changeit
      keytool -list -keystore /cacerts/cacerts -alias local
    volumeMounts:
    - mountPath: /cacerts
      name: cacerts
    - mountPath: /security
      name: tls
  volumes:
  - name: cacerts
    emptyDir: {}
  - name: tls
    secret:
      secretName: tls-secret
      defaultMode: 0400