Docker容器内升级VSCode后启动报错Operation not permitted怎么解决

问题根因 #

VSCode从1.56版本开始升级了底层Chromium内核，默认启用了基于Linux命名空间的沙箱安全机制。Docker容器默认未开放CAP_SYS_ADMIN权限，也没有配置user namespace映射，普通用户运行VSCode时无法创建新的命名空间，就会抛出Failed to move to new namespace: Operation not permitted的错误。
你之前使用的sudo code --no-sandbox方案虽然能启动，但同时开启了root权限+关闭沙箱，安全风险很高，不建议长期使用。

更安全的可行方案 #

按推荐优先级排序如下：

• 方案1：启动容器时新增必要权限（安全性最高，完全保留VSCode安全特性）
  启动容器时添加沙箱运行需要的相关权限，不需要修改VSCode启动参数，也不需要以root身份运行VSCode：

  docker run -it \
    --cap-add=SYS_ADMIN \
    --security-opt seccomp=unconfined \
    <你的容器镜像名>
  

  说明：该配置仅给容器授予沙箱运行需要的最小权限，不会额外放大容器的安全风险。

• 方案2：给普通用户配置启动别名（无需调整容器配置，实现成本最低）
  不需要sudo提权，直接给当前普通用户的VSCode启动命令增加--no-sandbox参数，写入shell配置文件永久生效：

  # 如果你用bash，执行以下命令
  echo "alias code='code --no-sandbox'" >> ~/.bashrc
  source ~/.bashrc
  
  # 如果你用zsh，执行以下命令
  echo "alias code='code --no-sandbox'" >> ~/.zshrc
  source ~/.zshrc
  

  说明：该方案虽然关闭了沙箱机制，但全程用普通用户运行VSCode，安全风险远低于root启动的临时方案。

• 方案3：配置Docker user namespace映射（适合批量部署场景）
  如果你需要批量运行带VSCode的容器，可以修改Docker daemon的/etc/docker/daemon.json配置，开启user namespace支持，将容器内普通用户的UID映射到宿主机的合法用户区间，配置完成后重启Docker服务，所有容器都可以直接正常启动VSCode，不需要额外加任何参数。

内容的提问来源于stack exchange，提问作者Walid Bousseta