Gunakan perf di dalam wadah buruh pelabuhan tanpa --privileged

Setelah beberapa penelitian, masalahnya bukan pada perf_event_paranoid , tetapi dengan fakta bahwa perf_event_open (syscall) telah masuk daftar hitam di docker:https://docs.docker.com/engine/security/seccomp/ "Docker v17.06:profil keamanan Seccomp untuk Docker"

Syscall yang signifikan diblokir oleh profil default

perf_event_open Tracing/profiling syscall, yang dapat membocorkan banyak informasi pada host.

Solusi pertama saya untuk ini adalah memiliki skrip yang mengunduh file seccomp resmi https://github.com/moby/moby/blob/master/profiles/seccomp/default.json, dan menambahkan perf_event_open ke daftar syscall yang masuk daftar putih.

Saya kemudian memulai buruh pelabuhan dengan --security-opt seccomp=my-seccomp.json

Jalankan buruh pelabuhan dengan --cap-add SYS_ADMIN