Модули ядра загрузки докеров

Question

Я попытался установить модуль ядра, xfsprogs. Он был успешно установлен внутри контейнера. Это действительно удивительно, но lsmod не перечисляет этот модуль внутри контейнера или в хост-системе. Как может новый модуль ядра загружается в контейнер? (CentOS контейнер, Ubuntu хозяин)

Answer 1

Контейнеры взаимодействуют с ядром через системные вызовы и не включают в себя какой-либо части ядра или модулей ядра внутри контейнера. Это одна из причин, по которой контейнеры были легкими и переносимыми. Также xfsprogs - это программы пользовательского пространства, а не модули ядра.

Как может новый модуль ядра загружен в контейнер? (CentOS контейнер, Ubuntu хост)

модуль должен быть загружен на ОС хоста, а не из контейнера Докер.

Answer 2

• Выполнить контейнер в привилегированном режиме (--privileged)
• Добавить все возможности (--cap добавьте = ALL)
• монтирования хост/Библиотека/модули в контейнер (-v/Lib/модули:/Библиотека/модули)

docker run --name container_name --privileged --cap-add=ALL -d -v /dev:/dev -v /lib/modules:/lib/modules image_id

Здесь все возможности Linux добавлена ​​поэтому возможности могут быть уточнены.

Answer 3

Falco - пример контейнера, который загружает модуль ядра как часть процесса запуска.

docker run -i -t --name falco --privileged \ 
    -v /var/run/docker.sock:/host/var/run/docker.sock \ 
    -v /dev:/host/dev \ 
    -v /proc:/host/proc:ro \ 
    -v /boot:/host/boot:ro \ 
    -v /lib/modules:/host/lib/modules:ro \ 
    -v /usr:/host/usr:ro \ 
    sysdig/falco