1

运行我的应用程序如下：

sudo rkt run --insecure-options=image --interactive --net=host ./myapp.aci

我收到消息：

锁定内存失败：无法分配内存

经过一番挖掘，这似乎表明容器没有CAP_IPC_LOCK传递给它的能力。我已经深入研究了一些文档，但找不到我需要添加配置或任何选项来启用它的位置。我该怎么做呢？

4

2 回答 2

3

ACI 可以使用os/linux/capabilities-retain-set 类型的隔离器在清单中指定他们需要的上限。

要检查清单是否包含这样的隔离器，您可以使用 atool：

$ actool cat-manifest --pretty-print ./myapp.aci

您可能会看到以下内容：

    "isolators": [
        {
            "name": "os/linux/capabilities-retain-set",
            "value": {
                "set": [
                    "CAP_IPC_LOCK"
                ]
            }
        }
    ]

要添加CAP_IPC_LOCK，您可以使用：

$ actool patch-manifest --capability=CAP_IPC_LOCK --replace ./myapp.aci

目前无法直接在rkt run命令行上添加功能。我在 GitHub 上为此功能请求提交了一个问题：coreos/rkt#2371

于 2016-04-04T09:29:41.103 回答
3

您可以使用 acbuild 为您的容器提供正确的功能。

如果您已经在使用 acbuild 来制作 ACI，只需将此行添加到构建脚本中：

echo '{ "set": ["CAP_IPC_LOCK"] }' | acbuild isolator add "os/linux/capabilities-retain-set" -

或者，如果您尚未使用 acbuild 来创建 ACI，则可以使用该--modify标志修改现有 ACI。所以命令是：

echo '{ "set": ["CAP_IPC_LOCK"] }' | acbuild --modify path/to/your/app.aci isolator add "os/linux/capabilities-retain-set" -

于 2016-04-04T16:12:42.190 回答