Как предоставить MLOCK системный вызов к контейнеру вызывается через «SUDO РКТ перспективе» на CoreOs

Question

Запуск моего приложения, как показано ниже:

sudo rkt run --insecure-options=image --interactive --net=host ./myapp.aci

Я получаю сообщение:

Не удалось блокировка памяти: не может выделить память

Которая после некоторого рытья показала бы, что в контейнере нет CAP_IPC_LOCK. Я вникнул в некоторые из документации, но не могу найти, где мне нужно добавить конфигурацию или любой вариант, чтобы включить это. Как мне это сделать?

Answer 1

ACI могут указывать, какие колпачки им нужны в своем манифесте с помощью isolator of type os/linux/capabilities-retain-set.

Чтобы проверить, если манифест содержит такой разъединитель, вы можете использовать actool:

$ actool cat-manifest --pretty-print ./myapp.aci 

Вы можете увидеть следующее:

"isolators": [ 
     { 
      "name": "os/linux/capabilities-retain-set", 
      "value": { 
       "set": [ 
        "CAP_IPC_LOCK" 
       ] 
      } 
     } 
    ] 

Чтобы добавить CAP_IPC_LOCK, вы можете использовать:

$ actool patch-manifest --capability=CAP_IPC_LOCK --replace ./myapp.aci 

В настоящее время невозможно добавить возможность непосредственно на rkt run командной строки. Я задал вопрос о GitHub для этого запроса функции: coreos/rkt#2371

Answer 2

Вы можете использовать acbuild, чтобы дать вашему контейнеру нужные возможности.

Если вы уже используете acbuild, чтобы сделать ваш ACI, просто добавьте эту строку в сценарий сборки:

echo '{ "set": ["CAP_IPC_LOCK"] }' | acbuild isolator add "os/linux/capabilities-retain-set" -

Или, если вы не используете acbuild, чтобы сделать ваш ACI, вы можете изменить существующий ACI, используя флаг --modify. Таким образом, команда будет:

echo '{ "set": ["CAP_IPC_LOCK"] }' | acbuild --modify path/to/your/app.aci isolator add "os/linux/capabilities-retain-set" -