在AWS Lambda容器执行Docker命令时遇ssh权限故障排查

核心问题：Lambda环境中，Docker客户端通过DOCKER_HOST=ssh://...调用远程Docker daemon时，出现fork/exec /usr/bin/ssh: operation not permitted错误，但直接执行ssh命令正常。这说明问题并非ssh本身不可执行，而是Docker客户端调用ssh的过程中触发了Lambda环境的权限限制或路径配置问题。

排查与解决步骤 #

1. 强制Docker客户端使用指定的SSH二进制文件 #

Docker客户端可能默认使用的SSH路径与你直接执行的不一致，或者在调用时缺少环境变量。通过DOCKER_SSH_BINARY指定绝对路径：

export DOCKER_SSH_BINARY=/usr/bin/ssh
DOCKER_HOST=ssh://foo@12.34.56.78 docker version

2. 重定向Docker配置目录到可写的/tmp #

Docker客户端默认会尝试在~/.docker目录写入配置文件，而Lambda中/home目录是只读的，这可能导致间接的权限错误。将配置目录指向/tmp：

mkdir -p /tmp/.docker
export DOCKER_CONFIG=/tmp/.docker
DOCKER_HOST=ssh://foo@12.34.56.78 docker version

3. 显式指定SSH密钥路径并确保权限正确 #

Lambda中~/.ssh目录是只读的，需将密钥放在/tmp并确保权限为600，同时在DOCKER_HOST中显式指定密钥：

# 假设密钥已放在/tmp/ec2-key.pem，先设置权限
chmod 600 /tmp/ec2-key.pem
# 使用带密钥参数的DOCKER_HOST
DOCKER_HOST="ssh://foo@12.34.56.78?identityfile=/tmp/ec2-key.pem" docker version

4. 手动建立SSH隧道绕开Docker的SSH调用逻辑 #

如果Docker调用ssh的方式触发了Lambda的限制，手动建立隧道后让Docker连接本地socket：

# 后台建立SSH隧道，将远程Docker socket映射到/tmp/docker.sock
ssh -L /tmp/docker.sock:/var/run/docker.sock foo@12.34.56.78 -i /tmp/ec2-key.pem -N &
# 设置Docker连接本地socket
export DOCKER_HOST=unix:///tmp/docker.sock
docker version

5. 用strace跟踪系统调用定位具体错误 #

通过strace查看Docker客户端执行时的系统调用细节，找到触发权限拒绝的具体步骤：

strace -f DOCKER_HOST=ssh://foo@12.34.56.78 docker version 2>&1 | grep -E "(execve|EACCES|EPERM)"

输出会显示Docker尝试执行ssh时的具体参数和错误原因，帮助定位是路径、权限还是系统调用限制问题。

6. 检查Lambda的Seccomp配置（进阶） #

Lambda默认的Seccomp profile可能限制了某些系统调用。如果上述方法无效，可以尝试自定义Seccomp profile，确保execve等必要调用被允许（注意：自定义profile需要通过Lambda层或部署包配置，操作较复杂）。

内容的提问来源于stack exchange，提问作者bendytree