我需要哪种 Linux 功能才能写入 /proc/sys/vm/drop_caches？

Question

我正在尝试从 docker 容器内清除我的文件系统缓存，如下所示：

docker run --rm ubuntu:vivid sh -c "/bin/echo 3 > /proc/sys/vm/drop_caches"

如果我运行此命令，我会得到

sh: 1: cannot create /proc/sys/vm/drop_caches: Read-only file system

这是预期的，因为我无法/proc从容器内部写入。

现在当我打电话

docker run --rm --privileged ubuntu:vivid sh -c "/bin/echo 3 > /proc/sys/vm/drop_caches"

它有效，这对我来说也很有意义，因为--privileged容器可以（几乎）在主机上做任何事情。

我的问题是：如何找出需要在命令中设置的 Linux 功能

docker run --rm --cap-add=??? ubuntu:vivid sh -c "/bin/echo 3 > /proc/sys/vm/drop_caches"

为了使这项工作无需设置--privileged？

Answer 1

该proc文件系统不支持的功能，ACL，甚至改变基本权限有chmod。Unix 权限决定调用进程是否获得访问权限。因此只有 root 可以写入该文件。对于用户命名空间，这是全局根（原始命名空间中的根）；容器中的 root 无法更改 sysctl 设置。

据我所知，从非特权命名空间内部更改 sysctl 设置的唯一解决方案是安排与外部（例如套接字或管道）的通信通道，并让侦听进程在容器外以 root 身份运行。

Answer 2

作为 Gilles 已接受的答案的附录：在使用 docker 时，我设法以更简单的方式实现了写信给/proc/sys/vm/drop_caches（或/proc一般来说，准确地说是写信给）的目标：

docker run -ti --rm -v /proc:/writable_proc ubuntu:vivid bash
# echo 3 > /writable_proc/sys/vm/drop_caches

这样做是为了我的目的。

非常感谢您的有用回答！