Docker 中 openjdk 容器里无法使用 JDK 的 jmap 等命令的问题 - kinginblue的专栏 - CSDN博客
Docker 中 openjdk 容器里无法使用 JDK 的 jmap 等命令的问题 - kinginblue的专栏 - CSDN博客
原
Docker 中 openjdk 容器里无法使用 JDK 的 jmap 等命令的问题
2017年09月24日 17:14:13kinginblue阅读数：5054
%3b’ data-evernote-id=’1054’ class=’js-evernote-checked’%3e%3c/path%3e%3c/svg%3e)
零、问题描述
项目：Java Spring Boot 项目
Docker 环境：Docker Toolbox。不是 Windows10，用不了 Docker for Windows 只能用这个。
使用 Docker Compose 编排服务，并启动 Mysql 和 Spring Boot 项目。
docker-compose.yml 文件内容：
version: ‘2’
services:
mysql:
build: ./docker/builds/mysql
ports:
- “3386:3306”
volumes:
“./docker/data/mysql/data:/var/lib/mysql”
“./docker/data/mysql/conf:/etc/mysql/conf.d”
restart: always
environment:
MYSQL_DATABASE: testdb
MYSQL_USER: kinginblue
MYSQL_PASSWORD: kinginblue
MYSQL_ROOT_PASSWORD: kinginblue
api:
depends_on:
- mysql
build: ./docker/builds/api
ports:
- “8088:8080”
volumes:
- “./api/target/api-0.0.1-SNAPSHOT.jar:/app/api.jar”
entrypoint:
“java”
“-jar”
“/app/api.jar”
restart: always
./docker/builds/api 目录下的 DockerFile 内容：
FROM openjdk:8
ENV LANG C.UTF-8
用的是 openjdk8。
项目部署在 CentOS 服务器上。项目偶尔会出现无响应的情况，这时理所当然要上去用 JDK 相关命令看看堆栈和GC等信息了。
进入 Java 程序所在容器：docekr-compose exec api bash，进入到 api 容器的 bash 终端。
jps 打印 Java 进程：
1 api.jar
74 Jps
嗯，jps 命令还是能正常使用的，api.jar 程序的进程号是1。
jmap 命令打印堆栈摘要信息：jmap -heap 1，然而，报错了！
Attaching to process ID 1, please wait…
Error attaching to process: sun.jvm.hotspot.debugger.DebuggerException: Can’t attach to the process: ptrace(PTRACE_ATTACH, ..) failed for 1: Operation not permitted
sun.jvm.hotspot.debugger.DebuggerException: sun.jvm.hotspot.debugger.DebuggerException: Can’t attach to the process: ptrace(PTRACE_ATTACH, ..) failed for 1: Operation not permitted
at sun.jvm.hotspot.debugger.linux.LinuxDebuggerLocal$LinuxDebuggerLocalWorkerThread.execute(LinuxDebuggerLocal.java:163)
at sun.jvm.hotspot.debugger.linux.LinuxDebuggerLocal.attach(LinuxDebuggerLocal.java:278)
at sun.jvm.hotspot.HotSpotAgent.attachDebugger(HotSpotAgent.java:671)
at sun.jvm.hotspot.HotSpotAgent.setupDebuggerLinux(HotSpotAgent.java:611)
at sun.jvm.hotspot.HotSpotAgent.setupDebugger(HotSpotAgent.java:337)
at sun.jvm.hotspot.HotSpotAgent.go(HotSpotAgent.java:304)
at sun.jvm.hotspot.HotSpotAgent.attach(HotSpotAgent.java:140)
at sun.jvm.hotspot.tools.Tool.start(Tool.java:185)
at sun.jvm.hotspot.tools.Tool.execute(Tool.java:118)
at sun.jvm.hotspot.tools.JInfo.main(JInfo.java:138)
at sun.reflect.NativeMethodAccessorImpl.invoke0(Native Method)
at sun.reflect.NativeMethodAccessorImpl.invoke(NativeMethodAccessorImpl.java:62)
at sun.reflect.DelegatingMethodAccessorImpl.invoke(DelegatingMethodAccessorImpl.java:43)
at java.lang.reflect.Method.invoke(Method.java:498)
at sun.tools.jinfo.JInfo.runTool(JInfo.java:108)
at sun.tools.jinfo.JInfo.main(JInfo.java:76)
Caused by: sun.jvm.hotspot.debugger.DebuggerException: Can’t attach to the process: ptrace(PTRACE_ATTACH, ..) failed for 1: Operation not permitted
at sun.jvm.hotspot.debugger.linux.LinuxDebuggerLocal.attach0(Native Method)
at sun.jvm.hotspot.debugger.linux.LinuxDebuggerLocal.access$100(LinuxDebuggerLocal.java:62)
at sun.jvm.hotspot.debugger.linux.LinuxDebuggerLocal$1AttachTask.doit(LinuxDebuggerLocal.java:269)
at sun.jvm.hotspot.debugger.linux.LinuxDebuggerLocal$LinuxDebuggerLocalWorkerThread.run(LinuxDebuggerLocal.java:138)
以上的关键信息就是：Can’t attach to the process: ptrace(PTRACE_ATTACH, ..) failed for 1: Operation not permitted，操作不允许。
一、解决方案
这其实不是什么 Bug，而是 Docker 自 1.10 版本开始加入的安全特性。
类似于 jmap 这些 JDK 工具依赖于 Linux 的 PTRACE_ATTACH，而是 Docker 自 1.10 在默认的 seccomp 配置文件中禁用了 ptrace。
这篇文章介绍了整个的缘由以及应对方法：JVM in Docker and PTRACE_ATTACH
主要提及三种：
1.1 –security-opt seccomp=unconfined
简单暴力（不推荐），直接关闭 seccomp 配置。用法：
docker run –security-opt seccomp:unconfined …
1.2 –cap-add=SYS_PTRACE
使用 –cap-add 明确添加指定功能：
docker run –cap-add=SYS_PTRACE …
1.3 Docker Compose 的支持
Docker Compose 自 version 1.1.0 (2015-02-25) 起支持 cap_add。官方文档：cap_add, cap_drop。用法：
前面的 docker-compose.yml 改写后文件内容如下（相同内容部分就不重复贴了）：
version: ‘2’
services:
mysql:
…
api:
…
cap_add:
- SYS_PTRACE
