Linux vm.cache,为了写入/ proc / sys / vm / drop_caches,我需要哪种Linux功能？

提问

我试图从docker容器中清除我的文件系统缓存,如下所示：

docker run --rm ubuntu:vivid sh -c "/bin/echo 3 > /proc/sys/vm/drop_caches"

如果我运行此命令,我会得到

sh: 1: cannot create /proc/sys/vm/drop_caches: Read-only file system

这是预期的,因为我无法从容器内部写入/ proc.

现在我打电话的时候

docker run --rm --privileged ubuntu:vivid sh -c "/bin/echo 3 > /proc/sys/vm/drop_caches"

它的工作原理对我来说也很有意义,因为 – 特权容器可以(几乎)在主机上做任何事情.

我的问题是：如何找出我需要在命令中设置的Linux功能

docker run --rm --cap-add=??? ubuntu:vivid sh -c "/bin/echo 3 > /proc/sys/vm/drop_caches"

为了使这项工作不必设置–privileged？

最佳答案

proc文件系统不支持功能,ACL,甚至不支持使用chmod更改基本权限. Unix权限确定调用进程是否可以访问.因此只有root才能写入该文件.使用用户名称空间,这是全局根(原始名称空间中的名称);容器中的root无法更改sysctl设置.

据我所知,从非特权命名空间内部更改sysctl设置的唯一解决方案是与外部(例如套接字或管道)安排通信通道,并使监听进程在容器外以root身份运行.