Docker 中無法使用 JDK jhsdb jmap之 Can't attach to the process: ptrace(PTRACE_ATTACH問題

原文

Docker 中無法使用 JDK jmap之 Can't attach to the process: ptrace(PTRACE_ATTACH問題

問題描述

一個老服務最近出現OOM問題了（日志中發現的），但是由於啟動參數沒有添加-XX:HeapDumpOnOutOfMemoryError無法獲取dump文件，這時想着使用jmap獲取dump文件，結果執行jmap報如下錯：

[root@cn8011sl-meet01 jdk-11.0.4]# jhsdb jmap --heap --pid 14980
Attaching to process ID 14980, please wait...
ERROR: ptrace(PTRACE_ATTACH, ..) failed for 14980: Operation not permitted
Error attaching to process: sun.jvm.hotspot.debugger.DebuggerException: Can't attach to the process: ptrace(PTRACE_ATTACH, ..) failed for 14980: Operation not permitted
sun.jvm.hotspot.debugger.DebuggerException: sun.jvm.hotspot.debugger.DebuggerException: Can't attach to the process: ptrace(PTRACE_ATTACH, ..) failed for 14980: Operation not permitted
at jdk.hotspot.agent/sun.jvm.hotspot.debugger.linux.LinuxDebuggerLocal$LinuxDebuggerLocalWorkerThread.execute(LinuxDebuggerLocal.java:163)
at jdk.hotspot.agent/sun.jvm.hotspot.debugger.linux.LinuxDebuggerLocal.attach(LinuxDebuggerLocal.java:274)
at jdk.hotspot.agent/sun.jvm.hotspot.HotSpotAgent.attachDebugger(HotSpotAgent.java:672)
at jdk.hotspot.agent/sun.jvm.hotspot.HotSpotAgent.setupDebuggerLinux(HotSpotAgent.java:612)
at jdk.hotspot.agent/sun.jvm.hotspot.HotSpotAgent.setupDebugger(HotSpotAgent.java:338)
at jdk.hotspot.agent/sun.jvm.hotspot.HotSpotAgent.go(HotSpotAgent.java:305)
at jdk.hotspot.agent/sun.jvm.hotspot.HotSpotAgent.attach(HotSpotAgent.java:141)
at jdk.hotspot.agent/sun.jvm.hotspot.tools.Tool.start(Tool.java:185)
at jdk.hotspot.agent/sun.jvm.hotspot.tools.Tool.execute(Tool.java:118)
at jdk.hotspot.agent/sun.jvm.hotspot.tools.JMap.main(JMap.java:176)
at jdk.hotspot.agent/sun.jvm.hotspot.SALauncher.runJMAP(SALauncher.java:326)
at jdk.hotspot.agent/sun.jvm.hotspot.SALauncher.main(SALauncher.java:455)
Caused by: sun.jvm.hotspot.debugger.DebuggerException: Can't attach to the process: ptrace(PTRACE_ATTACH, ..) failed for 14980: Operation not permitted
at jdk.hotspot.agent/sun.jvm.hotspot.debugger.linux.LinuxDebuggerLocal.attach0(Native Method)
at jdk.hotspot.agent/sun.jvm.hotspot.debugger.linux.LinuxDebuggerLocal$1AttachTask.doit(LinuxDebuggerLocal.java:265)
at jdk.hotspot.agent/sun.jvm.hotspot.debugger.linux.LinuxDebuggerLocal$LinuxDebuggerLocalWorkerThread.run(LinuxDebuggerLocal.java:138)

問題分析

百度和google之后，我們發現docker的官方文檔提到了。

這不是什么 docker 或者jmap的Bug，而是 Docker 自 1.10 版本開始加入的安全特性。類似於 jmap 這些 JDK 工具依賴於 Linux 的 PTRACE_ATTACH，而是 Docker 自 1.10 在默認的 seccomp 配置文件中禁用了 ptrace。

主要提及三種：

1.1 –security-opt seccomp=unconfined

直接關閉 seccomp 配置或者將ptrace添加到允許的名單中。用法：

docker run --security-opt seccomp:unconfined ...

官方文檔提到you can pass unconfined to run a container without the default seccomp profile. 連接為https://docs.docker.com/engine/security/seccomp/

1.2 –cap-add=SYS_PTRACE

使用 --cap-add 明確添加指定功能：

docker run --cap-add=SYS_PTRACE ...

官方文檔連接https://docs.docker.com/engine/reference/run/

 

在這里插入圖片描述

 

1.3 Docker Compose 的支持

Docker Compose 自 version 1.1.0 (2015-02-25) 起支持 cap_add。官方文檔：cap_add, cap_drop。用法：

前面的 docker-compose.yml 改寫后文件內容如下（相同內容部分就不重復貼了）：

version: '2'

services:
  mysql:
    ...
  api:
    ...
    cap_add:
      - SYS_PTRACE

官方連接在https://docs.docker.com/compose/compose-file/compose-file-v2/#cap_add-cap_drop

最終解決辦法

本人最終以類似如下方式啟動容器，然后 執行jmap命令

啟動容器的命令參數
docker run --cap-add=SYS_PTRACE -d -p 8080:8080 hello:v2  --name helloWithPtrace