我来帮你搞定这个问题！你遇到的情况其实挺常见的——仅仅挂载journald套接字有时候不够，因为还有权限和文件系统的其他依赖需要处理。下面是一步步的解决方案：

journalctl能正常工作，需要依赖多个路径，不只是套接字。推荐用以下命令启动容器，一次性挂载所有必要资源：

docker run -it --rm \
  -v /run/systemd/journal/socket:/run/systemd/journal/socket \
  -v /var/log/journal:/var/log/journal:ro \
  -v /run/log/journal:/run/log/journal:ro \
  -v /etc/machine-id:/etc/machine-id:ro \
  --user root \
  ubuntu:latest bash

每个挂载的作用：

• /run/systemd/journal/socket：journald的核心通信套接字，必须挂载
• /var/log/journal：宿主机上持久化存储的journal日志，只读挂载即可
• /run/log/journal：宿主机临时存储的journal日志（重启后消失），只读挂载
• /etc/machine-id：系统唯一标识文件，journalctl需要它匹配日志来源

如果不想用root用户运行容器，需要让容器内的用户拥有访问journal日志的权限：

1. 先在宿主机上查询systemd-journal组的GID：

   getent group systemd-journal | cut -d: -f3
   

   假设得到的GID是100000
2. 启动容器时添加这个组的映射：

   docker run -it --rm \
     -v /run/systemd/journal/socket:/run/systemd/journal/socket \
     -v /var/log/journal:/var/log/journal:ro \
     -v /run/log/journal:/run/log/journal:ro \
     -v /etc/machine-id:/etc/machine-id:ro \
     --group-add 100000 \
     ubuntu:latest bash
   

在容器内运行journalctl -n 10，对比宿主机上执行相同命令的输出，应该完全一致。如果还是不行，排查以下几点：

• 检查宿主机/etc/systemd/journald.conf中的JournalSocketMode参数，确保没有设置严格的权限限制
• 如果容器用了AppArmor或SELinux安全策略，暂时禁用试试，看是否是权限策略阻止了访问
• 确认宿主机/var/log/journal下的文件权限为root:systemd-journal，容器内映射的组权限能覆盖这个

如果不想手动配置挂载，可以直接用预装了systemd环境的官方镜像，启动命令更简洁：

docker run -it --rm \
  -v /run/systemd/journal:/run/systemd/journal \
  -v /var/log/journal:/var/log/journal:ro \
  quay.io/coreos/systemd journalctl -n 20

这个镜像会自动处理权限和依赖，直接运行journalctl就能看到宿主机的完整日志。

内容的提问来源于stack exchange，提问作者EddieM