容器环境eBPF加载失败求助：无法访问内核tracepoint

1. 容器内核文件系统隔离 #

容器默认会隔离宿主的部分内核文件系统，/sys/kernel/debug（挂载debugfs）及其下的/sys/kernel/debug/tracing（挂载tracefs）不会被自动挂载到容器内。而eBPF程序加载tracepoint时，需要通过tracefs提供的接口定位事件，因此容器内找不到对应文件会触发报错。

2. 挂载失败的直接原因 #

你尝试单独挂载/sys/kernel/debug/tracing时，容器内的/sys/kernel/debug目录本身是空的（未挂载debugfs），容器初始化阶段无法自动创建嵌套的tracing目录，导致挂载操作失败。

要让容器正常使用tracepoint并加载eBPF程序，需完成两个核心配置：挂载所需内核文件系统，以及赋予容器足够权限。

1. 挂载内核文件系统 #

无需单独挂载tracing子目录，直接将宿主的/sys/kernel/debug（包含已挂载的tracefs）挂载到容器对应路径即可，容器会自动继承宿主的debugfs和tracefs挂载结构。

Docker 启动示例 #

docker run -it --rm \
  --cap-add SYS_ADMIN \
  --cap-add PERFMON \
  -v /sys/kernel/debug:/sys/kernel/debug:rw \
  your-ebpf-image:latest

Kubernetes Pod 配置示例 #

apiVersion: v1
kind: Pod
metadata:
  name: ebpf-tracepod
spec:
  containers:
  - name: ebpf-container
    image: your-ebpf-image:latest
    securityContext:
      capabilities:
        add: ["SYS_ADMIN", "PERFMON"]
    volumeMounts:
    - name: debugfs
      mountPath: /sys/kernel/debug
      readOnly: false # 若需写入tracefs配置，保持可写
  volumes:
  - name: debugfs
    hostPath:
      path: /sys/kernel/debug
      type: Directory

2. 赋予必要权限 #

容器需要以下权限才能操作eBPF和tracepoint：

• CAP_SYS_ADMIN: 用于挂载内核文件系统、加载eBPF程序（低内核版本依赖）
• CAP_PERFMON: Linux 5.8+ 版本中，可替代部分CAP_SYS_ADMIN权限，专门用于性能监控类操作（包括tracepoint访问和eBPF加载）

若内核版本低于5.8，仅添加CAP_SYS_ADMIN即可，但该权限较高，生产环境需谨慎使用。

3. 验证配置 #

容器启动后，执行以下命令验证文件系统挂载状态：

mount | grep -E 'debugfs|tracefs'

若输出包含与宿主机类似的挂载信息，说明配置生效，此时重新加载eBPF程序即可正常使用tracepoint。

内容的提问来源于stack exchange，提问作者54vault