[Оновлено1] У мене є оболонка, яка змінить параметри ядра TCP у деяких функціях, але тепер мені потрібно зробити цю оболонку запущеною в контейнері Docker, це означає, що оболонка повинна знати, що вона працює всередині контейнера, і припинити налаштування ядра.

Тепер я не знаю, як цього досягти, ось вміст /proc/self/cgroupусередині контейнера:

9:hugetlb:/
8:perf_event:/
7:blkio:/
6:freezer:/
5:devices:/
4:memory:/
3:cpuacct:/
2:cpu:/docker/25ef774c390558ad8c4e9a8590b6a1956231aae404d6a7aba4dde320ff569b8b
1:cpuset:/

Будь-які прапорці вище я можу використати, щоб з’ясувати, чи виконується цей процес всередині контейнера?

[Оновлено2]: Я також помітив, як визначається, чи виконується процес всередині lxc / Docker , але, здається, у цьому випадку це не працює, вміст /proc/1/cgroupмого контейнера:

8:perf_event:/
7:blkio:/
6:freezer:/
5:devices:/
4:memory:/
3:cpuacct:/
2:cpu:/docker/25ef774c390558ad8c4e9a8590b6a1956231aae404d6a7aba4dde320ff569b8b
1:cpuset:/

No / lxc / containerid

Перевірити всередині контейнера Docker, чи перебуваєте ви всередині контейнера Docker, можна через /proc/1/cgroup. Як випливає з цього допису, ви можете зробити наступне:

Поза контейнером докера всі записи в /proc/1/cgroupкінці, /як ви можете бачити тут:

vagrant@ubuntu-13:~$ cat /proc/1/cgroup
11:name=systemd:/
10:hugetlb:/
9:perf_event:/
8:blkio:/
7:freezer:/
6:devices:/
5:memory:/
4:cpuacct:/
3:cpu:/
2:cpuset:/

Усередині контейнера Docker деякі контрольні групи належатимуть Docker (або LXC):

vagrant@ubuntu-13:~$ docker run busybox cat /proc/1/cgroup
11:name=systemd:/
10:hugetlb:/
9:perf_event:/
8:blkio:/
7:freezer:/
6:devices:/docker/3601745b3bd54d9780436faa5f0e4f72bb46231663bb99a6bb892764917832c2
5:memory:/
4:cpuacct:/
3:cpu:/docker/3601745b3bd54d9780436faa5f0e4f72bb46231663bb99a6bb892764917832c2
2:cpuset:/

Docker створює .dockerenv та .dockerinit( видаляється у версії 1.1 ) файли у верхній частині дерева каталогів контейнера, тож ви можете перевірити, чи існують вони.

Щось подібне мало би спрацювати.

#!/bin/bash
if [ -f /.dockerenv ]; then
    echo "I'm inside matrix ;(";
else
    echo "I'm living in real world!";
fi

Рішення Томаса як код:

running_in_docker() {
  (awk -F/ '$2 == "docker"' /proc/self/cgroup | read non_empty_input)
}

Примітка

readЗі змінним манекеном простий ідіоми для Does цих ніякого висновку? . Це компактний метод для перетворення можливо багатослівного grepабо awkв тест на шаблон.

Додаткова примітка щодо прочитаного

Ми використовуємо sched (/ proc / $ PID / sched) для вилучення PID процесу. PID процесу всередині контейнера буде відрізнятися, ніж PID на хості (неконтейнерна система).

Наприклад, результат / proc / 1 / sched для контейнера повернеться:

root@33044d65037c:~# cat /proc/1/sched | head -n 1
bash (5276, #threads: 1)

Перебуваючи на неконтейнерному хості:

$ cat /proc/1/sched  | head -n 1
init (1, #threads: 1)

Це допомагає розрізнити, перебуваєте ви в контейнері чи ні. наприклад, ви можете зробити:

if [[ ! $(cat /proc/1/sched | head -n 1 | grep init) ]]; then {
    echo in docker
} else {
    echo not in docker
} fi

Мені підходить перевірка на наявність номера inode символу '/.' Всередині докера дуже велика кількість. Поза док-станцією його дуже мало, як "2". Я вважаю, що такий підхід також залежатиме від використовуваної FileSystem.

Приклад

Всередині докера:

# ls -ali / | sed '2!d' |awk {'print $1'}
1565265

Поза докером

$ ls -ali / | sed '2!d' |awk {'print $1'}
2

У сценарії:

#!/bin/bash
INODE_NUM=`ls -ali / | sed '2!d' |awk {'print $1'}`
if [ $INODE_NUM == '2' ];
then
        echo "Outside the docker"
else
        echo "Inside the docker"
fi

Нам потрібно було виключити процеси, що виконуються в контейнерах, але замість перевірки наявності лише докерних груп ми вирішили порівняти /proc/<pid>/ns/pidз системою init на /proc/1/ns/pid. Приклад:

pid=$(ps ax | grep "[r]edis-server \*:6379" | awk '{print $1}')
if [ $(readlink "/proc/$pid/ns/pid") == $(readlink /proc/1/ns/pid) ]; then
   echo "pid $pid is the same namespace as init system"
else
   echo "pid $pid is in a different namespace as init system"
fi

Або в нашому випадку ми хотіли один лайнер, який генерує помилку, якщо процес НЕ знаходиться в контейнері

bash -c "test -h /proc/4129/ns/pid && test $(readlink /proc/4129/ns/pid) != $(readlink /proc/1/ns/pid)"

який ми можемо виконати з іншого процесу, і якщо код виходу дорівнює нулю, тоді вказаний PID працює в іншому просторі імен.

На основі коментаря Дана Уолша щодо використання SELinux ps -eZ | grep container_t, але без необхідності psвстановлення:

$ podman run --rm fedora:31 cat /proc/1/attr/current
system_u:system_r:container_t:s0:c56,c299
$ podman run --rm alpine cat /proc/1/attr/current
system_u:system_r:container_t:s0:c558,c813
$ docker run --rm fedora:31 cat /proc/1/attr/current
system_u:system_r:container_t:s0:c8,c583
$ cat /proc/1/attr/current
system_u:system_r:init_t:s0

Це просто говорить вам , що ви працюєте в вигляді контейнера, але не які у час виконання.

Не перевіряв час роботи інших контейнерів, але https://opensource.com/article/18/2/understanding-selinux-labels-container-runtimes надає більше інформації та пропонує, що це широко використовується, може також працювати для rkt та lxc?

Я створив невеликий скрипт на python. Сподіваюся, хтось вважає це корисним. :-)

#!/usr/bin/env python3
#@author Jorge III Altamirano Astorga 2018
import re
import math

total = None
meminfo = open('/proc/meminfo', 'r')
for line in meminfo:
    line = line.strip()
    if "MemTotal:" in line:
        line = re.sub("[^0-9]*", "", line)
        total = int(line)
meminfo.close()
print("Total memory: %d kB"%total)

procinfo = open('/proc/self/cgroup', 'r')
for line in procinfo: 
    line = line.strip()
    if re.match('.{1,5}:name=systemd:', line):
        dockerd = "/sys/fs/cgroup/memory" + \
            re.sub("^.{1,5}:name=systemd:", "", line) + \
            "/memory.stat"
        #print(dockerd)
        memstat = open(dockerd, 'r')
        for memline in memstat:
            memline = memline.strip()
            if re.match("hierarchical_memory_limit", memline):
                memline = re.sub("[^0-9]*", \
                    "", memline)  
                total = math.floor(int(memline) / 2**10)
        memstat.close()
procinfo.close()
print("Total available memory to the container: %d kB"%total)