Docker容器内调用VT_SETMODE修改TTY模式失败，提示权限不足求助

这个报错的核心原因是Docker默认的安全限制和权限隔离，VT_SETMODE这类终端模式修改操作属于特权操作，需要特定的Linux能力才能执行，同时容器对挂载的/dev/tty1也可能缺少足够的访问权限。下面是具体的分析和解决步骤：

为什么会报错？ #

1. 缺少必要的Linux能力：VT_SETMODE是内核提供的终端控制接口，执行这个操作需要进程拥有CAP_TTY_CONFIG（或者更宽泛的CAP_SYS_ADMIN）能力，而Docker默认不会给容器分配这类特权能力。
2. 设备权限问题：即使你用--device /dev/tty1挂载了设备，容器内的默认用户可能没有对/dev/tty1的读写权限，导致操作失败。
3. 安全机制限制：Docker默认启用的AppArmor或seccomp安全策略可能会阻止这类终端特权操作。

解决办法 #

1. 添加必要的Linux能力 #

运行容器时显式添加CAP_TTY_CONFIG能力，这是执行VT_SETMODE最精准的权限：

docker build -f Dockerfile -t tty-test . && docker run --device /dev/tty1 --cap-add CAP_TTY_CONFIG --user root -v $HOME/tty-test:/volume -it tty-test /bin/bash -c 'cd /volume && gcc tty_r.c && ./a.out ; /bin/bash'

这里的--cap-add CAP_TTY_CONFIG直接赋予容器修改终端模式的特权，--user root确保容器内用户拥有访问/dev/tty1的最高权限。

2. （可选）调整安全策略（仅测试环境使用） #

如果添加能力后仍然报错，可能是AppArmor或seccomp的限制，可以临时关闭这些安全策略（注意：生产环境禁止这么做，会大幅降低容器安全性）：

docker build -f Dockerfile -t tty-test . && docker run --device /dev/tty1 --cap-add CAP_TTY_CONFIG --user root --security-opt apparmor=unconfined --security-opt seccomp=unconfined -v $HOME/tty-test:/volume -it tty-test /bin/bash -c 'cd /volume && gcc tty_r.c && ./a.out ; /bin/bash'

3. 验证终端分配 #

确保你始终使用-it参数运行容器，这个参数会给容器分配一个交互式TTY，没有它的话容器无法正常访问终端设备。

额外说明 #

• 优先使用CAP_TTY_CONFIG而不是CAP_SYS_ADMIN，因为前者是最小必要权限，减少安全风险。
• 如果你不想用root用户运行容器，可以在容器内修改/dev/tty1的权限（比如chmod 666 /dev/tty1），但这种方式不如直接用root用户可靠。

内容的提问来源于stack exchange，提问作者user11578494