runc项目在cgroup v1 rootless模式下共享PID命名空间的容器删除问题分析
问题背景
在容器技术中,runc作为低级别的容器运行时工具,负责实际创建和运行容器。近期在runc v1.2.0-rc.3版本中发现了一个特定场景下的功能退化问题:当在cgroup v1环境下以非root用户(rootless)运行容器,并且容器间共享PID命名空间时,使用nerdctl rm -f
命令删除容器会出现挂起现象。
问题现象
具体表现为:
- 首先创建一个名为foo的基础容器
- 然后创建一个名为bar的容器,与foo共享PID命名空间
- 当尝试使用
nerdctl rm -f bar
强制删除bar容器时,命令会挂起
值得注意的是,这个问题仅在特定环境下出现:
- Ubuntu 20.04系统(使用cgroup v1)
- 以非root用户(rootless)运行
- 使用runc v1.2.0-rc.3版本
而在其他环境中则表现正常,包括:
- 相同系统但使用cgroup v2
- 以root用户运行
- 使用runc v1.1.14版本
技术分析
根本原因
经过排查,这个问题是由于runc在v1.2.0-rc.3版本中对信号处理逻辑的修改引起的。具体来说,commit 9583b3d1c297021109081872c52302316ede15b1中"libct: move killing logic to container.Signal"的改动导致了此问题。
在cgroup v1 rootless模式下,当容器共享PID命名空间时,runc kill
命令无法简单地杀死容器初始化进程(因为共享PID命名空间后,该进程不再是PID 1)。理论上,它应该杀死容器cgroup中的所有进程。然而,在rootless模式下,cgroup v1可能无法正确设置或访问,导致无法完成这一操作。
运行机制差异
有趣的是,虽然nerdctl rm -f bar
会挂起,但分步执行nerdctl stop bar && nerdctl rm bar
却能正常工作。这是因为两种操作虽然最终都会调用runc kill
命令,但执行路径和时序有所不同:
- 直接
rm -f
尝试立即强制终止容器,在cgroup v1 rootless环境下遇到进程终止问题 - 分步操作可能给了容器更优雅的终止机会,或者时序差异避免了竞争条件
解决方案
针对这个问题,社区提出了几种可能的解决方案:
-
代码修复:通过PR #4395修复了信号处理逻辑,使runc能够正确处理这种特殊情况
-
配置限制:从设计角度考虑,可以在runc run/start时就检测并阻止这种不支持的配置组合(cgroup v1 + rootless + 共享PID命名空间)
-
警告机制:在不完全禁止的情况下,至少应该向用户发出警告,提示这种配置可能存在问题
技术建议
对于用户和开发者,建议:
- 如果必须使用cgroup v1 rootless模式,避免容器间共享PID命名空间
- 考虑升级到cgroup v2环境,它提供了更好的rootless支持
- 在关键生产环境中,充分测试特定版本的runc与容器管理工具(如nerdctl)的兼容性
- 关注runc项目的更新,及时应用相关修复
总结
这个问题展示了容器技术中权限模型、cgroup版本和命名空间交互的复杂性。特别是在rootless场景下,由于权限限制,某些操作可能无法按预期工作。作为开发者,需要理解这些底层机制;作为用户,则需要选择适合自己环境的配置和工具版本。
- DDeepSeek-V3.1-BaseDeepSeek-V3.1 是一款支持思考模式与非思考模式的混合模型Python00
- QQwen-Image-Edit基于200亿参数Qwen-Image构建,Qwen-Image-Edit实现精准文本渲染与图像编辑,融合语义与外观控制能力Jinja00
GitCode-文心大模型-智源研究院AI应用开发大赛
GitCode&文心大模型&智源研究院强强联合,发起的AI应用开发大赛;总奖池8W,单人最高可得价值3W奖励。快来参加吧~042CommonUtilLibrary
快速开发工具类收集,史上最全的开发工具类,欢迎Follow、Fork、StarJava04GitCode百大开源项目
GitCode百大计划旨在表彰GitCode平台上积极推动项目社区化,拥有广泛影响力的G-Star项目,入选项目不仅代表了GitCode开源生态的蓬勃发展,也反映了当下开源行业的发展趋势。06GOT-OCR-2.0-hf
阶跃星辰StepFun推出的GOT-OCR-2.0-hf是一款强大的多语言OCR开源模型,支持从普通文档到复杂场景的文字识别。它能精准处理表格、图表、数学公式、几何图形甚至乐谱等特殊内容,输出结果可通过第三方工具渲染成多种格式。模型支持1024×1024高分辨率输入,具备多页批量处理、动态分块识别和交互式区域选择等创新功能,用户可通过坐标或颜色指定识别区域。基于Apache 2.0协议开源,提供Hugging Face演示和完整代码,适用于学术研究到工业应用的广泛场景,为OCR领域带来突破性解决方案。00openHiTLS
旨在打造算法先进、性能卓越、高效敏捷、安全可靠的密码套件,通过轻量级、可剪裁的软件技术架构满足各行业不同场景的多样化要求,让密码技术应用更简单,同时探索后量子等先进算法创新实践,构建密码前沿技术底座!C0299- WWan2.2-S2V-14B【Wan2.2 全新发布|更强画质,更快生成】新一代视频生成模型 Wan2.2,创新采用MoE架构,实现电影级美学与复杂运动控制,支持720P高清文本/图像生成视频,消费级显卡即可流畅运行,性能达业界领先水平Python00
- GGLM-4.5-AirGLM-4.5 系列模型是专为智能体设计的基础模型。GLM-4.5拥有 3550 亿总参数量,其中 320 亿活跃参数;GLM-4.5-Air采用更紧凑的设计,拥有 1060 亿总参数量,其中 120 亿活跃参数。GLM-4.5模型统一了推理、编码和智能体能力,以满足智能体应用的复杂需求Jinja00
Yi-Coder
Yi Coder 编程模型,小而强大的编程助手HTML013
热门内容推荐
最新内容推荐
项目优选









