3、eBPF 程序的数据输出与映射使用

eBPF 程序的数据输出与映射使用

1. eBPF 程序基础运行与权限

运行 eBPF 程序时，根据（虚拟）机器的状态，可能会立即看到追踪信息。这是因为其他进程可能正在使用 execve 系统调用执行程序。若未看到输出，可打开第二个终端执行任意命令，就能看到 “Hello World” 程序生成的相应追踪信息，例如：

$ hello.py
b'     bash-5412    [001] .... 90432.904952: 0: 
bpf_trace_printk: Hello World'

由于 eBPF 功能强大，使用它需要特殊权限。root 用户会自动被赋予这些权限，所以最简单的运行方式是以 root 身份运行，比如使用 sudo 。若遇到 “Operation not permitted” 错误，首先要检查是否以无特权用户身份运行 eBPF 程序。

在 5.8 版本的内核中引入了 CAP_BPF ，它为执行某些 eBPF 操作（如创建特定类型的映射）提供了足够的权限。不过，加载追踪程序通常需要 CAP_PERFMON 和 CAP_BPF 权限，加载网络程序则需要 CAP_NET_ADMIN 和 CAP_BPF 权限。

以下是不同操作所需权限的表格：
| 操作类型 | 所需权限 |
| ---- | ---- |
| 加载追踪程序 | CAP_PERFMON、CA