Docker Swarm部署树莓派服务遇privileged不支持问题求助

这个问题我之前在树莓派Swarm集群部署GPIO相关服务时也碰到过，原因很明确：Docker Swarm模式下使用docker stack deploy时，Compose v3格式并不支持privileged这个顶层服务选项——毕竟Swarm是为集群调度设计的，全局特权和它的调度理念冲突，官方就把这个选项从栈部署的兼容列表里移除了。

不过我们可以用更精细的权限控制和设备映射来替代privileged的效果，完美实现GPIO访问需求，具体步骤如下：

1. 给目标树莓派节点打标签 #

GPIO是节点本地硬件，服务只能部署在有GPIO的树莓派节点上。先给目标节点打标签，方便Swarm调度：

docker node update --label-add gpio-enabled=true <你的树莓派节点名称>

2. 修改docker-compose.yml配置 #

移除顶层的privileged: true，替换为以下配置，实现权限授予和设备挂载：

version: '3.6'
services:
  gpio-service:
    # 必须使用树莓派支持的ARM架构镜像（armhf/arm64）
    image: your-arm-compatible-image:tag
    # 授予访问原始IO的权限，满足GPIO操作的核心需求
    cap_add:
      - CAP_SYS_RAWIO
    # 挂载GPIO相关设备文件，根据你的硬件需求调整
    devices:
      - "/dev/gpiomem:/dev/gpiomem"
      - "/dev/gpiochip0:/dev/gpiochip0"
    # 如果需要通过sysfs操作GPIO节点，挂载这个目录
    volumes:
      - /sys/class/gpio:/sys/class/gpio
    deploy:
      # 约束服务只部署到打了标签的树莓派节点
      placement:
        constraints:
          - node.labels.gpio-enabled == true

3. 重新部署服务栈 #

执行以下命令完成部署：

docker stack deploy -c docker-compose.yml <你的栈名称>

额外说明 #

• 如果你的服务需要更特殊的硬件访问权限，可以添加更多cap_add选项（比如CAP_SYS_ADMIN，但不建议滥用）；
• 你的Docker 18.02版本比较老旧，建议条件允许时升级到较新的稳定版，能获得更好的Swarm特性支持和兼容性；
• 万不得已必须使用全局特权的话，可以放弃docker stack deploy，直接在目标树莓派节点用docker-compose up -d部署，但这样会失去Swarm的集群管理能力，不推荐。

内容的提问来源于stack exchange，提问作者eth crypt