树莓派Docker构建Python镜像时pip install报Operation not permitted怎么解决

问题根因 #

该报错通常出现在Linux宿主机环境，原因是你使用的python:3.10-slim默认基于Debian 12（bookworm）版本，其内置的glibc依赖clock_gettime64等新系统调用，当宿主机满足以下任意一种情况时，Docker默认的seccomp安全策略会拦截该系统调用，触发time.time()执行时报权限错误：

• 宿主机内核版本低于4.15
• Docker版本低于20.10.10，默认seccomp配置未放行新系统调用
• 运行Rootless模式的Docker时用户命名空间权限配置异常

Windows环境下Docker默认使用的WSL2/Hyper-V虚拟机内核和Docker版本都适配了新系统调用，因此不会出现该问题。

解决方案（按推荐优先级排序） #

• 方案1：更换兼容型基础镜像（无需修改宿主机配置，最稳妥）
  将Dockerfile第一行替换为基于Debian 11（bullseye）的Python镜像，旧版glibc无需新系统调用，适配所有主流宿主机环境：

  FROM python:3.10-slim-bullseye
  

  其余Dockerfile内容保持不变，重新执行构建命令即可。

• 方案2：更新宿主机Docker及相关组件
  将Docker引擎升级到20.10.10及以上版本，同步更新runc、containerd、libseccomp等依赖到最新版，适配新系统调用的放行规则，升级完成后重新执行正常构建命令即可。

• 方案3：临时关闭seccomp限制（仅用于测试验证，不推荐生产使用）
  构建时添加安全参数临时绕过seccomp限制：

  docker build --security-opt seccomp=unconfined -t iobrokerplexwebhook:0.0.1 .
  

内容的提问来源于stack exchange，提问作者Sascha