losetup的partscan选项在Docker容器中无法生成分区设备的原因咨询

嗨，这个问题我之前排查过，其实核心和Docker容器的权限机制、设备节点处理逻辑有关，咱们慢慢说清楚：

• 容器权限不够是核心原因：Docker默认以非特权模式运行容器，很多和内核设备交互的操作都被限制了。losetup --partscan的作用是让内核识别镜像里的分区，并自动创建对应的loop0p1、loop0p2这类设备节点，但这个操作需要容器拥有修改设备节点的权限——默认容器根本没这个权限，自然生成不了分区设备。

• 容器的/dev目录是简化版：原生Ubuntu里的/dev是devtmpfs文件系统，内核会自动把新生成的设备节点同步到这里。但Docker容器里的/dev是个简化的版本，不是完整的devtmpfs，就算内核在宿主机那边生成了分区节点，容器里也看不到，因为两边的/dev没有同步机制。

• 命名空间和内核模块限制（少见情况）：少数情况下，容器的内核命名空间会限制loop设备的分区功能访问，或者宿主机内核配置了相关限制，但这种情况比较少见，大部分时候还是前两个原因导致的。

如果想解决这个问题，可以试试这些方法（注意权衡安全风险）：

1. 用--privileged参数运行容器，这个会给容器几乎和宿主机一样的权限，能直接解决问题，但权限太大，非必要别用：

docker run -it --rm --privileged ubuntu:latest

2. 更精细地赋予权限：加上--cap-add=SYS_ADMIN，挂载宿主机的/dev，并指定loop相关设备，这样权限更小更安全：

docker run -it --rm --cap-add=SYS_ADMIN --device=/dev/loop-control -v /dev:/dev ubuntu:latest

备注：内容来源于stack exchange，提问作者sunknudsen