Question

这是我的Dockerfile：

FROM ubuntu:14.04

RUN apt-get update

RUN apt-get install -y software-properties-common
RUN apt-get install -y python-software-properties

RUN add-apt-repository ppa:chris-lea/node.js
RUN apt-get update
RUN apt-get install -y nodejs

RUN apt-get install -y apparmor-profiles
RUN apt-get install -y apparmor-utils

ADD server.js /folder1/
ADD usr.bin.nodejs /etc/apparmor.d/

RUN service apparmor reload

CMD node /folder1/server.js

以下是usr.bin.nodejs：

#include <tunables/global>

/usr/bin/nodejs {
  #include <abstractions/base>

  /usr/bin/nodejs mr,
  /folder1/server.js r,
  /folder1/repo/** ralkmix,
  network,

}

我运行sudo docker build -t scadge/test-one .来构建此图片。在Step 7 : RUN apt-get install -y apparmor-profiles我收到红色邮件invoke-rc.d: policy-rc.d denied execution of start和invoke-rc.d: policy-rc.d denied execution of reload。同样在Step 11 : RUN service apparmor reload我得到以下内容：

 * Reloading AppArmor profiles
 * Mounting securityfs on /sys/kernel/security...
mount: permission denied
    ...fail!
    ...fail!

..确定apparmor配置文件不起作用。那么如何让AppArmor在Docker中运行？我还想承认所有这些东西在我的桌面Ubuntu 14.04上运行正常，从官方网站下载。

Answer 1

首先是免责声明。你不想这样做！

因为重新加载容器中的AppArmor配置文件会在主机中重新加载！

这是因为Docker容器与主机共享正在运行的Linux内核。

容器本身已使用/etc/apparmor.d/docker个人资料BTW限制。

现在，如果你非常确定，你想从容器中加载主机AppArmor配置文件......

问题很明显，AppArmor无法安装securityfs。

您可以使用--privileged选项启用安装。

You can also enable it与SYS_ADMIN capability：

docker run --cap-add=SYS_ADMIN debian:jessie sh -c 'mount -t securityfs none /mnt && echo Done!'

如果您使用SYS_ADMIN选项，则必须修改主机上的/etc/apparmor.d/docker个人资料并注释掉所有deny行涉及/sys/kernel分支。

同样，这很可能不是你想要做的事情。

无法在Docker中重新加载或启动AppArmor

1 个答案: