零、問題描述

專案：Java Spring Boot 專案

Docker 環境：Docker Toolbox。不是 Windows10，用不了 Docker for Windows 只能用這個。

使用 Docker Compose 編排服務，並啟動 Mysql 和 Spring Boot 專案。

docker-compose.yml 檔案內容：

version: '2'

services:
  mysql:
    build: ./docker/builds/mysql
    ports:
      - "3386:3306"
    volumes:
      - "./docker/data/mysql/data:/var/lib/mysql"
 

      - "./docker/data/mysql/conf:/etc/mysql/conf.d"
    restart: always
    environment:
      MYSQL_DATABASE: testdb
      MYSQL_USER: kinginblue
      MYSQL_PASSWORD: kinginblue
      MYSQL_ROOT_PASSWORD: kinginblue
  api:
    depends_on:
      - mysql
    build: ./docker/builds/api
    ports:
      - "8088:8080"
 

    volumes:
      - "./api/target/api-0.0.1-SNAPSHOT.jar:/app/api.jar"
    entrypoint:
      - "java"
      - "-jar"
      - "/app/api.jar"
    restart: always

./docker/builds/api 目錄下的 DockerFile 內容：

FROM openjdk:8

ENV LANG C.UTF-8

用的是 openjdk8。

專案部署在 CentOS 伺服器上。專案偶爾會出現無響應的情況，這時理所當然要上去用 JDK 相關命令看看堆疊和GC等資訊了。

進入 Java 程式所在容器：docekr-compose exec api bash，進入到 api 容器的 bash 終端。

jps 列印 Java 程序：

1 api.jar
74 Jps

嗯，jps 命令還是能正常使用的，api.jar 程式的程序號是1。

jmap 命令列印堆疊摘要資訊：jmap -heap 1，然而，報錯了！

Attaching to process ID 1, please wait...
Error attaching to process: sun.jvm.hotspot.debugger.DebuggerException: Can't attach to the process: ptrace(PTRACE_ATTACH, ..) failed for 1: Operation not permitted
sun.jvm.hotspot.debugger.DebuggerException: sun.jvm.hotspot.debugger.DebuggerException: Can't attach to the process: ptrace(PTRACE_ATTACH, ..) failed for 1: Operation not permitted
        at sun.jvm.hotspot.debugger.linux.LinuxDebuggerLocal$LinuxDebuggerLocalWorkerThread.execute(LinuxDebuggerLocal.java:163)
        at sun.jvm.hotspot.debugger.linux.LinuxDebuggerLocal.attach(LinuxDebuggerLocal.java:278)
        at sun.jvm.hotspot.HotSpotAgent.attachDebugger(HotSpotAgent.java:671)
        at sun.jvm.hotspot.HotSpotAgent.setupDebuggerLinux(HotSpotAgent.java:611)
        at sun.jvm.hotspot.HotSpotAgent.setupDebugger(HotSpotAgent.java:337)
        at sun.jvm.hotspot.HotSpotAgent.go(HotSpotAgent.java:304)
        at sun.jvm.hotspot.HotSpotAgent.attach(HotSpotAgent.java:140)
        at sun.jvm.hotspot.tools.Tool.start(Tool.java:185)
        at sun.jvm.hotspot.tools.Tool.execute(Tool.java:118)
        at sun.jvm.hotspot.tools.JInfo.main(JInfo.java:138)
        at sun.reflect.NativeMethodAccessorImpl.invoke0(Native Method)
        at sun.reflect.NativeMethodAccessorImpl.invoke(NativeMethodAccessorImpl.java:62)
        at sun.reflect.DelegatingMethodAccessorImpl.invoke(DelegatingMethodAccessorImpl.java:43)
        at java.lang.reflect.Method.invoke(Method.java:498)
        at sun.tools.jinfo.JInfo.runTool(JInfo.java:108)
        at sun.tools.jinfo.JInfo.main(JInfo.java:76)
Caused by: sun.jvm.hotspot.debugger.DebuggerException: Can't attach to the process: ptrace(PTRACE_ATTACH, ..) failed for 1: Operation not permitted
        at sun.jvm.hotspot.debugger.linux.LinuxDebuggerLocal.attach0(Native Method)
        at sun.jvm.hotspot.debugger.linux.LinuxDebuggerLocal.access$100(LinuxDebuggerLocal.java:62)
        at sun.jvm.hotspot.debugger.linux.LinuxDebuggerLocal$1AttachTask.doit(LinuxDebuggerLocal.java:269)
        at sun.jvm.hotspot.debugger.linux.LinuxDebuggerLocal$LinuxDebuggerLocalWorkerThread.run(LinuxDebuggerLocal.java:138)

以上的關鍵資訊就是：Can't attach to the process: ptrace(PTRACE_ATTACH, ..) failed for 1: Operation not permitted，操作不允許。

一、解決方案

這其實不是什麼 Bug，而是 Docker 自 1.10 版本開始加入的安全特性。

類似於 jmap 這些 JDK 工具依賴於 Linux 的 PTRACE_ATTACH，而是 Docker 自 1.10 在預設的 seccomp 配置檔案中禁用了 ptrace。

主要提及三種：

1.1 –security-opt seccomp=unconfined

簡單暴力（不推薦），直接關閉 seccomp 配置。用法：

docker run --security-opt seccomp:unconfined ...

1.2 –cap-add=SYS_PTRACE

使用 --cap-add 明確新增指定功能：

docker run --cap-add=SYS_PTRACE ...

1.3 Docker Compose 的支援

前面的 docker-compose.yml 改寫後文件內容如下（相同內容部分就不重複貼了）：

version: '2'

services:
  mysql:
    ...
  api:
    ...
    cap_add:
      - SYS_PTRACE

附、參考資料