如何在Kubernetes特权容器内检查主机的dkms及关联驱动？

核心思路 #

特权容器本身拥有访问主机资源的权限，通过挂载主机上DKMS运行所需的关键目录，无需nsenter即可直接调用主机的DKMS工具并检查驱动状态。

具体步骤 #

1. 挂载主机关键目录到容器
   在Pod定义中，通过hostPath挂载以下主机目录到容器内对应路径：

   • /usr/bin/dkms：主机DKMS的二进制执行文件
   • /lib/modules：主机内核模块存放目录，DKMS依赖此目录获取内核信息
   • /var/lib/dkms：DKMS的状态数据库，记录已安装的驱动模块
   • /usr/src：如果驱动源码存放在此处，也需要挂载（可选，根据驱动实际位置调整）

   示例Pod YAML片段：

   apiVersion: v1
   kind: Pod
   metadata:
     name: dkms-checker
   spec:
     containers:
     - name: dkms-check
       image: your-base-image:tag  # 建议用包含基础工具的镜像，比如debian:bullseye
       command: ["sleep", "3600"]
       securityContext:
         privileged: true  # 启用特权模式
       volumeMounts:
       - name: host-dkms-bin
         mountPath: /usr/bin/dkms
       - name: host-modules
         mountPath: /lib/modules
       - name: host-dkms-state
         mountPath: /var/lib/dkms
       - name: host-src
         mountPath: /usr/src
     volumes:
     - name: host-dkms-bin
       hostPath:
         path: /usr/bin/dkms
         type: File
     - name: host-modules
       hostPath:
         path: /lib/modules
         type: Directory
     - name: host-dkms-state
       hostPath:
         path: /var/lib/dkms
         type: Directory
     - name: host-src
       hostPath:
         path: /usr/src
         type: Directory
   

2. 在容器内执行DKMS检查命令
   进入容器后，直接运行主机的DKMS命令即可：

   • 检查DKMS是否安装：dkms --version
   • 列出已安装的驱动模块：dkms status
   • 检查特定驱动是否存在（比如nvidia驱动）：dkms status | grep nvidia

注意事项 #

• 确保主机上的DKMS路径与挂载路径一致，部分发行版可能将DKMS安装在/usr/sbin/dkms，需调整挂载的hostPath路径。
• 容器基础镜像需包含必要的依赖库（比如bash、grep等），否则可能无法执行DKMS命令。
• 特权模式会赋予容器极高权限，需严格控制此类Pod的权限范围和生命周期，避免安全风险。

内容的提问来源于stack exchange，提问作者Oren_C