Docker容器内执行fsfreeze冻结文件系统提示Operation not permitted求助

执行命令：fsfreeze -f /home/app/test
报错信息：fsfreeze: /home/app/test: freeze failed: Operation not permitted

• Docker容器默认启动时会裁剪Linux root的核心能力集，fsfreeze执行文件系统冻结操作必须的SYS_ADMIN能力默认未授予容器，是该报错最常见的触发原因
• 若容器已添加SYS_ADMIN能力，使用普通用户（示例中的app用户）执行命令时无对应操作权限，也会触发该报错
• 若/home/app/test路径属于bind mount/volume挂载的非本地文件系统（如网络存储、共享卷），部分文件系统本身不支持fsfreeze操作，也会返回权限类错误

• 启动容器时添加SYS_ADMIN能力：
  单容器启动命令示例：

  docker run --cap-add SYS_ADMIN [其余原有启动参数] 镜像名称
  

  docker-compose配置示例：

  services:
    你的服务名称:
      cap_add:
        - SYS_ADMIN
      # 其余原有配置保持不变
  

• 确认执行身份：执行fsfreeze命令时切换为root用户，或给普通用户配置该命令的sudo执行权限，普通用户执行时添加sudo前缀即可：

  sudo fsfreeze -f /home/app/test
  

• 特殊挂载场景适配：如果目标路径为外部挂载存储，先在宿主机执行fsfreeze命令验证该文件系统是否支持冻结操作，确认支持后再到容器内执行对应操作。

注意：SYS_ADMIN属于高风险系统权限，仅在明确容器内操作可信的场景下授予，避免引入容器逃逸等安全风险

内容的提问来源于stack exchange，提问作者Damien Chesneau