GKE临时容器中perf、kallsyms相关技术问题咨询

为什么/proc/kallsyms符号被清零？ #

这是内核安全机制与容器隔离策略共同作用的结果：

• 内核启用CONFIG_KALLSYMS_ALL但同时开启CONFIG_SECURITY模块（如AppArmor、SELinux），或设置kernel.kptr_restrict参数为1/2时，普通用户（甚至容器内root）会看到被清零的符号。
• 容器默认的资源隔离策略会限制对主机内核资源的直接访问，进一步导致符号不可见。

能不能拿到内核符号？不是无用功，但需做这些配置 #

只要你拥有主机的root权限，就能通过以下方式解决：

1. 调整主机内核参数
   • 临时生效：执行sysctl -w kernel.kptr_restrict=0，重启后失效。
   • 永久生效：编辑/etc/sysctl.conf添加kernel.kptr_restrict=0，再执行sysctl -p生效。
2. 启动容器时添加特权与挂载
   • 以特权模式启动容器，同时挂载主机的内核符号相关文件：

     docker run --privileged \
       -v /proc/kallsyms:/proc/kallsyms \
       -v /boot/System.map-$(uname -r):/boot/System.map-$(uname -r) \
       -v /sys/kernel/debug:/sys/kernel/debug \
       -it --rm your-image
     

   • 其中/sys/kernel/debug是bpftrace正常工作必需的挂载项。
3. 关闭容器的安全限制
   • 若主机启用了AppArmor或SELinux，启动容器时需添加对应参数关闭限制，比如AppArmor可加--security-opt apparmor=unconfined。

附加调试工具的注意事项 #

• 使用perf、bpftrace或gdb附加进程时，容器必须以--privileged模式启动，否则会被内核ptrace限制拦截。
• 若需调试内核本身，容器内还需安装与主机内核版本匹配的调试符号包；调试用户空间进程则需匹配目标进程的调试符号。

内容的提问来源于stack exchange，提问作者user826236