runc项目在cgroup v1 rootless模式下共享PID命名空间的容器删除问题分析
问题背景
在容器技术中,runc作为低级别的容器运行时工具,负责实际创建和运行容器。近期在runc v1.2.0-rc.3版本中发现了一个特定场景下的功能退化问题:当在cgroup v1环境下以非root用户(rootless)运行容器,并且容器间共享PID命名空间时,使用nerdctl rm -f
命令删除容器会出现挂起现象。
问题现象
具体表现为:
- 首先创建一个名为foo的基础容器
- 然后创建一个名为bar的容器,与foo共享PID命名空间
- 当尝试使用
nerdctl rm -f bar
强制删除bar容器时,命令会挂起
值得注意的是,这个问题仅在特定环境下出现:
- Ubuntu 20.04系统(使用cgroup v1)
- 以非root用户(rootless)运行
- 使用runc v1.2.0-rc.3版本
而在其他环境中则表现正常,包括:
- 相同系统但使用cgroup v2
- 以root用户运行
- 使用runc v1.1.14版本
技术分析
根本原因
经过排查,这个问题是由于runc在v1.2.0-rc.3版本中对信号处理逻辑的修改引起的。具体来说,commit 9583b3d1c297021109081872c52302316ede15b1中"libct: move killing logic to container.Signal"的改动导致了此问题。
在cgroup v1 rootless模式下,当容器共享PID命名空间时,runc kill
命令无法简单地杀死容器初始化进程(因为共享PID命名空间后,该进程不再是PID 1)。理论上,它应该杀死容器cgroup中的所有进程。然而,在rootless模式下,cgroup v1可能无法正确设置或访问,导致无法完成这一操作。
运行机制差异
有趣的是,虽然nerdctl rm -f bar
会挂起,但分步执行nerdctl stop bar && nerdctl rm bar
却能正常工作。这是因为两种操作虽然最终都会调用runc kill
命令,但执行路径和时序有所不同:
- 直接
rm -f
尝试立即强制终止容器,在cgroup v1 rootless环境下遇到进程终止问题 - 分步操作可能给了容器更优雅的终止机会,或者时序差异避免了竞争条件
解决方案
针对这个问题,社区提出了几种可能的解决方案:
-
代码修复:通过PR #4395修复了信号处理逻辑,使runc能够正确处理这种特殊情况
-
配置限制:从设计角度考虑,可以在runc run/start时就检测并阻止这种不支持的配置组合(cgroup v1 + rootless + 共享PID命名空间)
-
警告机制:在不完全禁止的情况下,至少应该向用户发出警告,提示这种配置可能存在问题
技术建议
对于用户和开发者,建议:
- 如果必须使用cgroup v1 rootless模式,避免容器间共享PID命名空间
- 考虑升级到cgroup v2环境,它提供了更好的rootless支持
- 在关键生产环境中,充分测试特定版本的runc与容器管理工具(如nerdctl)的兼容性
- 关注runc项目的更新,及时应用相关修复
总结
这个问题展示了容器技术中权限模型、cgroup版本和命名空间交互的复杂性。特别是在rootless场景下,由于权限限制,某些操作可能无法按预期工作。作为开发者,需要理解这些底层机制;作为用户,则需要选择适合自己环境的配置和工具版本。
- QQwen3-Next-80B-A3B-InstructQwen3-Next-80B-A3B-Instruct 是一款支持超长上下文(最高 256K tokens)、具备高效推理与卓越性能的指令微调大模型00
- QQwen3-Next-80B-A3B-ThinkingQwen3-Next-80B-A3B-Thinking 在复杂推理和强化学习任务中超越 30B–32B 同类模型,并在多项基准测试中优于 Gemini-2.5-Flash-Thinking00
GitCode-文心大模型-智源研究院AI应用开发大赛
GitCode&文心大模型&智源研究院强强联合,发起的AI应用开发大赛;总奖池8W,单人最高可得价值3W奖励。快来参加吧~0265cinatra
c++20实现的跨平台、header only、跨平台的高性能http库。C++00AI内容魔方
AI内容专区,汇集全球AI开源项目,集结模块、可组合的内容,致力于分享、交流。02- HHunyuan-MT-7B腾讯混元翻译模型主要支持33种语言间的互译,包括中国五种少数民族语言。00
GOT-OCR-2.0-hf
阶跃星辰StepFun推出的GOT-OCR-2.0-hf是一款强大的多语言OCR开源模型,支持从普通文档到复杂场景的文字识别。它能精准处理表格、图表、数学公式、几何图形甚至乐谱等特殊内容,输出结果可通过第三方工具渲染成多种格式。模型支持1024×1024高分辨率输入,具备多页批量处理、动态分块识别和交互式区域选择等创新功能,用户可通过坐标或颜色指定识别区域。基于Apache 2.0协议开源,提供Hugging Face演示和完整代码,适用于学术研究到工业应用的广泛场景,为OCR领域带来突破性解决方案。00- HHowToCook程序员在家做饭方法指南。Programmer's guide about how to cook at home (Chinese only).Dockerfile06
- PpathwayPathway is an open framework for high-throughput and low-latency real-time data processing.Python00
热门内容推荐
最新内容推荐
项目优选









