我正在尝试使用Docker容器中的perf工具来记录给定的命令。
kernel.perf_event_paranoid设置为1,但是当我没有放置--privileged标志时,容器的行为就像2那样。
我可以使用--privileged,但我运行perf的代码不受信任,如果我可以通过允许perf工具来承担轻微的安全风险,那么在容器上提供特权权限似乎是不同的风险级别。
有没有其他方法在容器内使用perf?
~$ docker version
Client:
Version: 17.03.1-ce
API version: 1.27
Go version: go1.7.5
Git commit: 7392c3b/17.03.1-ce
Built: Tue May 30 17:59:44 2017
OS/Arch: linux/amd64
Server:
Version: 17.03.1-ce
API version: 1.27 (minimum version 1.12)
Go version: go1.7.5
Git commit: 7392c3b/17.03.1-ce
Built: Tue May 30 17:59:44 2017
OS/Arch: linux/amd64
Experimental: false
~$ cat /proc/sys/kernel/perf_event_paranoid
1
~$ perf record ./my-executable
perf_event_open(..., PERF_FLAG_FD_CLOEXEC) failed with unexpected error 1 (Operation not permitted)
perf_event_open(..., 0) failed unexpectedly with error 1 (Operation not permitted)
Error:
You may not have permission to collect stats.
Consider tweaking /proc/sys/kernel/perf_event_paranoid:
-1 - Not paranoid at all
0 - Disallow raw tracepoint access for unpriv
1 - Disallow cpu events for unpriv
2 - Disallow kernel profiling for unpriv
答案 0 :(得分:15)
经过一些研究后,问题不在于perf_event_paranoid
,而是perf_event_open
(系统调用)已在docker中列入黑名单:
https://docs.docker.com/engine/security/seccomp/" Docker v17.06:Docker"&/ 34>的Seccomp安全配置文件
默认配置文件阻止的重要系统调用
perf_event_open
跟踪/分析系统调用,可能会泄漏主机上的大量信息。
我的第一个解决方法是使用下载官方seccomp文件https://github.com/moby/moby/blob/master/profiles/seccomp/default.json的脚本,并将perf_event_open
添加到列入白名单的系统调用列表中。
然后我用--security-opt seccomp=my-seccomp.json
答案 1 :(得分:-1)
使用--cap-add SYS_ADMIN