AWS ECS Fargate任务中无法使用strace调试php-fpm进程问题求助

你在容器内修改/etc/sysctl.d/10-ptrace.conf不生效属于预期情况：

• /proc/sys下的内核参数继承自宿主机，容器默认无权限修改这类全局内核配置
• Docker默认的seccomp安全策略直接禁用了ptrace系统调用，即使是容器内root用户也无法执行ptrace相关操作

启动容器时额外添加两个参数即可正常使用strace：
docker run --cap-add=SYS_PTRACE --sysctl kernel.yama.ptrace_scope=0 <你的镜像名>

• --cap-add=SYS_PTRACE：给容器添加ptrace所需的系统权限
• --sysctl kernel.yama.ptrace_scope=0：调整对应内核参数放开ptrace限制

仅Fargate平台版本1.4.0及以上支持如下配置，低版本无法自定义该类权限：

1. 修改任务定义中对应容器的配置，在containerDefinitions块内添加linuxParameters字段，授予SYS_PTRACE权限：

"containerDefinitions": [
  {
    "name": "<你的容器名称>",
    "image": "<你的镜像地址>",
    // 其他原有容器配置
    "linuxParameters": {
      "capabilities": {
        "add": ["SYS_PTRACE"]
      }
    }
  }
]

2. 若需要调整ptrace_scope参数，在任务定义的顶层配置中添加systemControls字段：

{
  "family": "<你的任务定义名称>",
  "networkMode": "awsvpc",
  // 其他原有任务定义配置
  "systemControls": [
    {
      "namespace": "kernel.yama.ptrace_scope",
      "value": "0"
    }
  ]
}

配置完成后重新发布任务，新启动的任务实例中即可正常使用strace调试php-fpm进程。调试完成后建议回滚上述配置，避免不必要的安全风险。

内容的提问来源于stack exchange，提问作者kaktusas2598