內搬運工人

Question

GDB的問題在Ubuntu 13.04版本泊塢窗Docker version 1.1.0, build 79812e3，並使用創建的泊塢窗容器：

# docker build -t gdb_problem_testing - < THIS_FILE 
FROM ubuntu 
RUN echo "deb http://archive.ubuntu.com/ubuntu precise main universe" > /etc/apt/sources.list 
RUN apt-get update 
RUN apt-get install -y build-essential gdb 

這樣做：

user@host $ sudo docker run --rm -it --user=root gdb_problem_testing su root -c bash 
root@690396061e81:/# cat <<EOF > test.c && gcc -ggdb test.c -o test && gdb -ex run test 
> #include <stdio.h> 
> 
> int main(int argc, char **argv) { 
>  printf("Hello\n!"); 
> } 
> EOF 
GNU gdb (Ubuntu/Linaro 7.4-2012.02-0ubuntu2) 7.4-2012.02 
Copyright (C) 2012 Free Software Foundation, Inc. 
License GPLv3+: GNU GPL version 3 or later <http://gnu.org/licenses/gpl.html> 
This is free software: you are free to change and redistribute it. 
There is NO WARRANTY, to the extent permitted by law. Type "show copying" 
and "show warranty" for details. 
This GDB was configured as "x86_64-linux-gnu". 
For bug reporting instructions, please see: 
<http://bugs.launchpad.net/gdb-linaro/>... 
Reading symbols from /test...done. 
Starting program: /test 
user@host $ 

不運行程序。 gdb剛起來並退出。在最後一行（su <some_user> -c bash等），請注意，我甚至得到了來自泊塢窗容器啓動並沒有返回到bash提示符（！）

我一直無法重現這在非泊塢窗環境。

如果我不su <some_user> -c bash而不是使用bash，則不會發生此問題。由於各種原因，必須使用su，主要是因爲這是我發現能夠對碼頭集裝箱中的特定用戶執行ulimits的唯一方式。

爲什麼gdb不能在這種情況下工作？

編輯

複製pastable命令，在泊塢窗容器中運行：下面

cat <<EOF > test.c && gcc -ggdb test.c -o test && gdb -ex run test 
#include <stdio.h> 

int main(int argc, char **argv) { 
    printf("Hello\n!"); 
} 
EOF 

UPDATE

只是爲了表明它是在真實搞亂事情泊塢窗容器su命令，是用bash代替su root -c bash做同樣的事情：

user@host $ sudo docker run --rm -it --user=root gdb_problem_testing bash 
root@ce1581184f7a:/# cat <<EOF > test.c && gcc -ggdb test.c -o test && gdb -ex run test 
> #include <stdio.h> 
> 
> int main(int argc, char **argv) { 
>  printf("Hello\n!"); 
> } 
> EOF 
GNU gdb (Ubuntu/Linaro 7.4-2012.02-0ubuntu2) 7.4-2012.02 
Copyright (C) 2012 Free Software Foundation, Inc. 
License GPLv3+: GNU GPL version 3 or later <http://gnu.org/licenses/gpl.html> 
This is free software: you are free to change and redistribute it. 
There is NO WARRANTY, to the extent permitted by law. Type "show copying" 
and "show warranty" for details. 
This GDB was configured as "x86_64-linux-gnu". 
For bug reporting instructions, please see: 
<http://bugs.launchpad.net/gdb-linaro/>... 
Reading symbols from /test...done. 
Starting program: /test 
warning: no loadable sections found in added symbol-file system-supplied DSO at 0x7ffff7ffa000 
Hello 
![Inferior 1 (process 17) exited with code 07] 
(gdb) 

請注意程序實際上是如何運行的（打印出「Hello」），並且我呆在gdb和docker容器中。

Answer 1

這是由於apparmor。我有一個解決方案，但它需要在每次啓動後應用。

訣竅是告訴apparmor'抱怨'安全違規，而不是阻止他們。這不是最安全的解決方法，我真的想找到一個更好的方式來處理它（例如只允許ptrace和其他任何GDB要求）。

告訴AppArmor的抱怨，你需要從/etc/apparmor.d/docker更改行：

profile docker-default flags=(attach_disconnected,mediate_deleted) { 

到：

profile docker-default flags=(attach_disconnected,mediate_deleted,complain) {