使用cgroup_new_cgroup创建cgroup时出错50007

Question

我在docker container中运行了一个进程(docker将进程放在一个cgroup中)。这个过程分叉了，我想把一些forks放到cgroups中。

我将以下代码添加到我的程序中：

cgroup_init();

struct cgroup *my_cgroup = cgroup_new_cgroup(cg_name);
cgroup_add_controller(my_cgroup, "cpu");

int cgroup_cr = cgroup_create_cgroup_from_parent(my_cgroup, 0);

cgroup_r为50007 ("Cgroup，不允许操作“)。我不知道这是为什么？是否有需要更改的配置？是否需要功能？

Answer 1

我相信对修改cgroup的访问将允许进程转义坞容器，因此在默认情况下，docker将禁用它。通过使用以下工具运行容器，可以测试该问题是否仅具有能力：

docker run --cap-add=ALL ...

更有可能的是，您将需要像SYS_ADMIN这样的特权，并且能够减少仅添加到特定项中的功能。

如果添加功能无法解决问题，则可以使用以下方法取消所有限制：

docker run --privileged ...

更多详情可参阅：

• 码头保安
• 运行时特权