无法在 docker 容器上运行 dmidecode

Question

我正在尝试在我的 docker 容器中运行命令 dmidecode，

docker run --device /dev/mem:/dev/mem -it jin/ubu1604

但它声称没有获得许可

root@bd1062dfd8ab:/# dmidecode
# dmidecode 3.0
Scanning /dev/mem for entry point.
/dev/mem: Operation not permitted
root@bd1062dfd8ab:/# ls -l /dev
total 0
crw--w---- 1 root tty  136, 0 Jan  7 03:21 console
lrwxrwxrwx 1 root root     11 Jan  7 03:20 core -> /proc/kcore
lrwxrwxrwx 1 root root     13 Jan  7 03:20 fd -> /proc/self/fd
crw-rw-rw- 1 root root   1, 7 Jan  7 03:20 full
crw-r----- 1 root kmem   1, 1 Jan  7 03:20 mem
drwxrwxrwt 2 root root     40 Jan  7 03:20 mqueue
crw-rw-rw- 1 root root   1, 3 Jan  7 03:20 null
lrwxrwxrwx 1 root root      8 Jan  7 03:20 ptmx -> pts/ptmx
drwxr-xr-x 2 root root      0 Jan  7 03:20 pts
crw-rw-rw- 1 root root   1, 8 Jan  7 03:20 random
drwxrwxrwt 2 root root     40 Jan  7 03:20 shm
lrwxrwxrwx 1 root root     15 Jan  7 03:20 stderr -> /proc/self/fd/2
lrwxrwxrwx 1 root root     15 Jan  7 03:20 stdin -> /proc/self/fd/0
lrwxrwxrwx 1 root root     15 Jan  7 03:20 stdout -> /proc/self/fd/1
crw-rw-rw- 1 root root   5, 0 Jan  7 03:20 tty
crw-rw-rw- 1 root root   1, 9 Jan  7 03:20 urandom
crw-rw-rw- 1 root root   1, 5 Jan  7 03:20 zero

这让我很困惑。因为我能够dmidecode -t system在主机（ubuntu 14.04）上正常运行。

我什至遵循了一些建议并设置了 dmidecode 可执行文件的权限

setcap cap_sys_rawio+ep /usr/sbin/dmidecode

它仍然不起作用。

有任何想法吗？

更新

根据大卫梅兹的回答，命令应该是

run --device /dev/mem:/dev/mem --cap-add SYS_RAWIO -it my/ubu1604a

仅当您信任容器中运行的内容时才执行此操作。例如，如果您正在原始操作系统上测试安装过程。

Answer 1

Docker 提供了一个隔离层，Docker 的主要目标之一是向容器隐藏主机硬件的详细信息。查询主机硬件的低级详细信息的最简单、最合适的方法是从主机上的 root shell，完全忽略 Docker。

其实际机制是通过限制 Linux功能。 功能CAP_SYS_RAWIO(7) 您需要访问的文档/dev/mem，因此原则上您可以使用 启动容器--cap-add SYS_RAWIO。您可能需要其他功能和/或设备访问才能使其真正发挥作用，因为 Docker 隐藏了您尝试访问的内容的详细信息作为设计目标。