提问
我试图从docker容器中清除我的文件系统缓存,如下所示:
docker run --rm ubuntu:vivid sh -c "/bin/echo 3 > /proc/sys/vm/drop_caches"
如果我运行此命令,我会得到
sh: 1: cannot create /proc/sys/vm/drop_caches: Read-only file system
这是预期的,因为我无法从容器内部写入/ proc.
现在我打电话的时候
docker run --rm --privileged ubuntu:vivid sh -c "/bin/echo 3 > /proc/sys/vm/drop_caches"
它的工作原理对我来说也很有意义,因为 – 特权容器可以(几乎)在主机上做任何事情.
我的问题是:如何找出我需要在命令中设置的Linux功能
docker run --rm --cap-add=??? ubuntu:vivid sh -c "/bin/echo 3 > /proc/sys/vm/drop_caches"
为了使这项工作不必设置–privileged?
最佳答案
proc文件系统不支持功能,ACL,甚至不支持使用chmod更改基本权限. Unix权限确定调用进程是否可以访问.因此只有root才能写入该文件.使用用户名称空间,这是全局根(原始名称空间中的名称);容器中的root无法更改sysctl设置.
据我所知,从非特权命名空间内部更改sysctl设置的唯一解决方案是与外部(例如套接字或管道)安排通信通道,并使监听进程在容器外以root身份运行.