如何让采样分析器容器访问多个容器内的进程？

问题描述 #

我有三个无法控制的容器：containerA、containerB、containerC。我正在开发一个搭载采样分析器的第四个容器，需要访问其他容器内的进程。此前仅需访问containerA时，我使用命令docker run --security-opt="apparmor=unconfined" --cap-add=SYS_PTRACE --pid=container:12345abc --rm -it --entrypoint bash mycontainer即可正常工作，现在需要访问全部三个容器的进程，是否有可行方案？

方案1：加入主机PID命名空间（最简单直接） #

使用--pid=host参数让分析器容器共享主机的PID命名空间，这样容器内就能看到主机上所有进程——包括三个目标容器的进程（容器本质是主机上的隔离进程）。

修改后的启动命令：

docker run --security-opt="apparmor=unconfined" --cap-add=SYS_PTRACE --pid=host --rm -it --entrypoint bash mycontainer

优缺点：

• 优点：操作简单，无需额外工具，一次配置即可访问所有目标容器进程
• 缺点：会同时显示主机自身的所有进程，可能带来信息干扰；权限范围较大，需确保分析器容器的安全性

方案2：用nsenter分别进入目标容器PID命名空间 #

若不想共享主机PID命名空间，可在分析器容器内通过nsenter工具，逐个进入目标容器的PID命名空间执行分析操作。

操作步骤： #

1. 确保分析器镜像包含nsenter工具（Debian/Ubuntu系可在构建时添加apt install -y util-linux）
2. 启动分析器容器时添加必要权限：

   docker run --security-opt="apparmor=unconfined" --cap-add=SYS_PTRACE --cap-add=SYS_ADMIN --rm -it --entrypoint bash mycontainer
   

3. 在容器内获取每个目标容器的主机PID：

   CONTAINER_A_PID=$(docker inspect -f '{{.State.Pid}}' containerA)
   CONTAINER_B_PID=$(docker inspect -f '{{.State.Pid}}' containerB)
   CONTAINER_C_PID=$(docker inspect -f '{{.State.Pid}}' containerC)
   

4. 进入对应容器的PID命名空间执行分析：

   # 分析containerA进程
   nsenter -t $CONTAINER_A_PID -p -- your-profiler-command
   # 分析containerB进程
   nsenter -t $CONTAINER_B_PID -p -- your-profiler-command
   # 分析containerC进程
   nsenter -t $CONTAINER_C_PID -p -- your-profiler-command
   

优缺点：

• 优点：精准访问单个目标容器进程，不会看到主机无关进程
• 缺点：需额外安装工具，操作步骤较多；需要SYS_ADMIN权限，权限要求更高

通用注意事项 #

• 两种方案都必须保留--security-opt="apparmor=unconfined"和--cap-add=SYS_PTRACE，这是采样分析器实现进程追踪的必要权限
• 若无法修改分析器镜像安装nsenter，可尝试挂载主机/proc和/var/run/docker.sock来间接操作，但该方式权限风险极高，需谨慎使用

内容的提问来源于stack exchange，提问作者randomDud