Docker Compose无法添加privilege
在使用Docker Compose进行容器编排时，有时候需要给容器添加特定的权限。然而，通过Docker Compose文件添加privilege却并不起作用。本文将会探讨这个问题，并提供解决方案。
问题描述
假设我们有一个简单的Docker Compose文件，用于启动一个包含特定权限的容器。例如，我们希望运行一个需要访问主机设备的容器：
version: '3'
services:
myservice:
privileged: true
image: myimage
在上述示例中，我们使用了privileged关键字来指定容器应该具有特权。然而，当我们尝试使用docker-compose up命令启动容器时，我们会发现容器并没有获得特权。
解决方案
要解决这个问题，我们需要使用Docker Compose的cap_add和devices选项来明确地指定所需的权限。
下面是一个示例的Docker Compose文件，使用cap_add和devices选项来赋予容器访问主机设备的权限：
version: '3'
services:
myservice:
cap_add:
- SYS_ADMIN
devices:
- /dev/sda:/dev/sda
image: myimage
在上述示例中，我们使用cap_add选项来添加SYS_ADMIN权限，并使用devices选项来将主机的/dev/sda设备映射到容器中的/dev/sda路径。这样，容器将具有访问主机设备的权限。
实际示例
为了更好地理解如何使用cap_add和devices选项，我们可以创建一个简单的示例来演示如何给容器添加特定的权限。
首先，我们创建一个Docker镜像，其中包含需要访问主机设备的应用程序。假设我们的应用程序是一个简单的脚本，用于读取主机设备的信息。我们将在容器中运行这个脚本。
FROM ubuntu:latest
RUN apt-get update && apt-get install -y lshw
COPY script.sh /script.sh
CMD ["/script.sh"]
下面是我们的脚本文件script.sh，用于读取主机设备的信息：
#!/bin/bash
lshw
接下来，我们创建一个Docker Compose文件，使用cap_add和devices选项来给容器添加权限。
version: '3'
services:
myservice:
cap_add:
- SYS_ADMIN
devices:
- /dev:/dev
build:
context: .
dockerfile: Dockerfile
在上述示例中，我们使用cap_add选项来添加SYS_ADMIN权限，并使用devices选项将主机的/dev目录映射到容器中的/dev路径。这样，容器将能够访问主机设备的信息。
最后，我们使用docker-compose up命令启动容器，并查看输出结果。我们可以看到容器成功读取了主机设备的信息。
docker-compose up
Starting myservice_1 ... done
Attaching to myservice_1
myservice_1 | myservice_1 | *-cpu
myservice_1 | myservice_1 | description: CPU ...
...
甘特图
下面是一个使用甘特图表示的解决方案的过程：
gantt
dateFormat YYYY-MM-DD
title Docker Compose无法添加privilege解决方案的过程
section 定位问题
阅读文档和资料 :active, des1, 2022-06-01, 3d
分析问题 : des2, after des1, 3d
确定解决方案 : des3, after des2, 2d
section 实施解决方案
更新Docker Compose文件 :active, des4, after des3, 1d
构建Docker镜像 : des5, after des4, 2d
启动容器 : des6, after des5, 1d
