如何从python:3.9 Docker容器获取宿主机systemctl服务状态

当前操作仅挂载了systemd单元配置文件、cgroup目录，容器内的systemctl命令没有和宿主机的systemd进程建立通信，默认会尝试连接容器自身的systemd实例——而python:3.9基础镜像默认不会启动systemd进程，自然会返回不符合宿主机实际情况的inactive状态。

方案1：直连宿主机systemd socket（完全匹配原需求） #

不需要在容器内启动独立systemd服务，只要把宿主机systemd进程的私有通信socket只读挂载进容器，容器内的systemctl就会直接通过该socket向宿主机systemd发起查询，返回的就是宿主机真实的服务状态。
调整后的启动命令如下：

docker run --privileged -d \
  -v /run/systemd/private:/run/systemd/private:ro \
  -v /etc/systemd/system/:/etc/systemd/system/:ro \
  -v /usr/lib/systemd/system/:/usr/lib/systemd/system/:ro \
  test-docker:latest

注意事项：

• 无需额外挂载/sys/fs/cgroup目录，只读挂载socket即可满足状态查询需求
• 确保容器内安装的systemctl客户端版本和宿主机systemd版本无跨大版本差异，否则可能出现通信协议不兼容的问题
• 保持socket挂载为只读权限即可，若给读写权限，容器内将可以直接启停、修改宿主机的systemd服务，生产环境需谨慎配置

方案2：轻量替代方案（安全性更高，无版本兼容问题） #

如果仅需要查询服务运行状态，不需要在容器内完整使用systemctl的所有功能，可以选择以下隔离性更好的实现方式：

• 进程扫描方式：启动容器时追加-v /proc:/host/proc:ro参数，不需要特权模式，容器内直接扫描/host/proc下的进程信息，通过匹配服务对应的进程名、cgroup标识即可判断服务运行状态
• 接口代理方式：在宿主机部署一个极简的本地代理服务（仅监听127.0.0.1），封装systemctl查询逻辑，容器启动时通过--network=host或者单独的桥接网络访问该代理接口获取服务状态，全程不需要给容器特权，也不需要挂载任何系统目录，安全风险最低

内容的提问来源于stack exchange，提问作者Sriram