docker容器内使用jstack等命令报错

最新推荐文章于 2025-02-07 11:53:25 发布

莫伊u

最新推荐文章于 2025-02-07 11:53:25 发布

阅读量6.9k

点赞数

分类专栏： docker

本文链接：https://blog.youkuaiyun.com/hou_1993/article/details/100090087

版权

docker 专栏收录该内容

1 篇文章

订阅专栏

本文解决Docker容器内使用jstack命令时遇到的权限错误问题，详细分析了错误原因，并提供了两种有效解决方案，一是运行时添加--cap-add=SYS_PTRACE参数，二是修改编排配置文件增加cap_add项。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

记得之前也在容器中使用过jstack命令，没问题，最近再次使用时，报错了，在网上查了一下，记录下来解决方案

报错信息如下：

# jstack -F 1
Attaching to process ID 1, please wait...
Error attaching to process: sun.jvm.hotspot.debugger.DebuggerException: Can't attach to the process: ptrace(PTRACE_ATTACH, ..) failed for 1: Operation not permitted
sun.jvm.hotspot.debugger.DebuggerException: sun.jvm.hotspot.debugger.DebuggerException: Can't attach to the process: ptrace(PTRACE_ATTACH, ..) failed for 1: Operation not permitted
   at sun.jvm.hotspot.debugger.linux.LinuxDebuggerLocal$LinuxDebuggerLocalWorkerThread.execute(LinuxDebuggerLocal.java:163)
   at sun.jvm.hotspot.debugger.linux.LinuxDebuggerLocal.attach(LinuxDebuggerLocal.java:278)
   at sun.jvm.hotspot.HotSpotAgent.attachDebugger(HotSpotAgent.java:671)
   at sun.jvm.hotspot.HotSpotAgent.setupDebuggerLinux(HotSpotAgent.java:611)
   at sun.jvm.hotspot.HotSpotAgent.setupDebugger(HotSpotAgent.java:337)
   at sun.jvm.hotspot.HotSpotAgent.go(HotSpotAgent.java:304)
   at sun.jvm.hotspot.HotSpotAgent.attach(HotSpotAgent.java:140)
   at sun.jvm.hotspot.tools.Tool.start(Tool.java:185)
   at sun.jvm.hotspot.tools.Tool.execute(Tool.java:118)
   at sun.jvm.hotspot.tools.JStack.main(JStack.java:92)
   at sun.reflect.NativeMethodAccessorImpl.invoke0(Native Method)
   at sun.reflect.NativeMethodAccessorImpl.invoke(NativeMethodAccessorImpl.java:62)
   at sun.reflect.DelegatingMethodAccessorImpl.invoke(DelegatingMethodAccessorImpl.java:43)
   at java.lang.reflect.Method.invoke(Method.java:498)
   at sun.tools.jstack.JStack.runJStackTool(JStack.java:140)
   at sun.tools.jstack.JStack.main(JStack.java:106)
Caused by: sun.jvm.hotspot.debugger.DebuggerException: Can't attach to the process: ptrace(PTRACE_ATTACH, ..) failed for 1: Operation not permitted
   at sun.jvm.hotspot.debugger.linux.LinuxDebuggerLocal.attach0(Native Method)
   at sun.jvm.hotspot.debugger.linux.LinuxDebuggerLocal.access$100(LinuxDebuggerLocal.java:62)
   at sun.jvm.hotspot.debugger.linux.LinuxDebuggerLocal$1AttachTask.doit(LinuxDebuggerLocal.java:269)
   at sun.jvm.hotspot.debugger.linux.LinuxDebuggerLocal$LinuxDebuggerLocalWorkerThread.run(LinuxDebuggerLocal.java:138)

分析报错信息，我们可以看出是权限不足，但是我登录的用户是管理员权限，应该不是用户的问题，在网上查到

Docker 自 1.10 版本开始加入的安全特性。

类似于 jmap 这些 JDK 工具依赖于 Linux 的 PTRACE_ATTACH，而是 Docker 自 1.10 在默认的 seccomp 配置文件中禁用了 ptrace。

需要为容器添加启动参数：

方法一：在启动命令行添加

docker run --cap-add=SYS_PTRACE ...

方法二：在编排配置上添加

test:
environment:
- LANG=C.UTF-8
- JAVA_HOME=/usr/lib/jvm/java-1.8-openjdk/jre
image: registry.cn-hangzhou.aliyuncs.com/test50j/test:lastest
ports:
- 8881:8881
restart: always
volumes:
- /tmp
cap_add:
- SYS_PTRACE

参考文章：