首页 > 编程语言 > Docker 解决openjdk容器里无法使用JDK的jmap等命令问题
2020
12-05

Docker 解决openjdk容器里无法使用JDK的jmap等命令问题

零、问题描述

项目:Java Spring Boot 项目

Docker 环境:Docker Toolbox。不是 Windows10,用不了 Docker for Windows 只能用这个。

使用 Docker Compose 编排服务,并启动 Mysql 和 Spring Boot 项目。

docker-compose.yml 文件内容:

version: '2'

services:
 mysql:
 build: ./docker/builds/mysql
 ports:
  - "3386:3306"
 volumes:
  - "./docker/data/mysql/data:/var/lib/mysql"
  - "./docker/data/mysql/conf:/etc/mysql/conf.d"
 restart: always
 environment:
  MYSQL_DATABASE: testdb
  MYSQL_USER: kinginblue
  MYSQL_PASSWORD: kinginblue
  MYSQL_ROOT_PASSWORD: kinginblue
 api:
 depends_on:
  - mysql
 build: ./docker/builds/api
 ports:
  - "8088:8080"
 volumes:
  - "./api/target/api-0.0.1-SNAPSHOT.jar:/app/api.jar"
 entrypoint:
  - "java"
  - "-jar"
  - "/app/api.jar"
 restart: always

./docker/builds/api 目录下的 DockerFile 内容:

FROM openjdk:8

ENV LANG C.UTF-8

用的是 openjdk8。

项目部署在 CentOS 服务器上。项目偶尔会出现无响应的情况,这时理所当然要上去用 JDK 相关命令看看堆栈和GC等信息了。

进入 Java 程序所在容器:docekr-compose exec api bash,进入到 api 容器的 bash 终端。

jps 打印 Java 进程:

1 api.jar

74 Jps

嗯,jps 命令还是能正常使用的,api.jar 程序的进程号是1。

jmap 命令打印堆栈摘要信息:jmap -heap 1,然而,报错了!

Attaching to process ID 1, please wait...
Error attaching to process: sun.jvm.hotspot.debugger.DebuggerException: Can't attach to the process: ptrace(PTRACE_ATTACH, ..) failed for 1: Operation not permitted
sun.jvm.hotspot.debugger.DebuggerException: sun.jvm.hotspot.debugger.DebuggerException: Can't attach to the process: ptrace(PTRACE_ATTACH, ..) failed for 1: Operation not permitted
  at sun.jvm.hotspot.debugger.linux.LinuxDebuggerLocal$LinuxDebuggerLocalWorkerThread.execute(LinuxDebuggerLocal.java:163)
  at sun.jvm.hotspot.debugger.linux.LinuxDebuggerLocal.attach(LinuxDebuggerLocal.java:278)
  at sun.jvm.hotspot.HotSpotAgent.attachDebugger(HotSpotAgent.java:671)
  at sun.jvm.hotspot.HotSpotAgent.setupDebuggerLinux(HotSpotAgent.java:611)
  at sun.jvm.hotspot.HotSpotAgent.setupDebugger(HotSpotAgent.java:337)
  at sun.jvm.hotspot.HotSpotAgent.go(HotSpotAgent.java:304)
  at sun.jvm.hotspot.HotSpotAgent.attach(HotSpotAgent.java:140)
  at sun.jvm.hotspot.tools.Tool.start(Tool.java:185)
  at sun.jvm.hotspot.tools.Tool.execute(Tool.java:118)
  at sun.jvm.hotspot.tools.JInfo.main(JInfo.java:138)
  at sun.reflect.NativeMethodAccessorImpl.invoke0(Native Method)
  at sun.reflect.NativeMethodAccessorImpl.invoke(NativeMethodAccessorImpl.java:62)
  at sun.reflect.DelegatingMethodAccessorImpl.invoke(DelegatingMethodAccessorImpl.java:43)
  at java.lang.reflect.Method.invoke(Method.java:498)
  at sun.tools.jinfo.JInfo.runTool(JInfo.java:108)
  at sun.tools.jinfo.JInfo.main(JInfo.java:76)
Caused by: sun.jvm.hotspot.debugger.DebuggerException: Can't attach to the process: ptrace(PTRACE_ATTACH, ..) failed for 1: Operation not permitted
  at sun.jvm.hotspot.debugger.linux.LinuxDebuggerLocal.attach0(Native Method)
  at sun.jvm.hotspot.debugger.linux.LinuxDebuggerLocal.access$100(LinuxDebuggerLocal.java:62)
  at sun.jvm.hotspot.debugger.linux.LinuxDebuggerLocal$1AttachTask.doit(LinuxDebuggerLocal.java:269)
  at sun.jvm.hotspot.debugger.linux.LinuxDebuggerLocal$LinuxDebuggerLocalWorkerThread.run(LinuxDebuggerLocal.java:138)

以上的关键信息就是:Can't attach to the process: ptrace(PTRACE_ATTACH, ..) failed for 1: Operation not permitted,操作不允许。

一、解决方案

这其实不是什么 Bug,而是 Docker 自 1.10 版本开始加入的安全特性。

类似于 jmap 这些 JDK 工具依赖于 Linux 的 PTRACE_ATTACH,而是 Docker 自 1.10 在默认的 seccomp 配置文件中禁用了 ptrace。

这篇文章介绍了整个的缘由以及应对方法:JVM in Docker and PTRACE_ATTACH

主要提及三种:

1.1 ?security-opt seccomp=unconfined

简单暴力(不推荐),直接关闭 seccomp 配置。用法:

docker run --security-opt seccomp:unconfined ...

1.2 ?cap-add=SYS_PTRACE

使用 --cap-add 明确添加指定功能:

docker run --cap-add=SYS_PTRACE ...

1.3 Docker Compose 的支持

Docker Compose 自 version 1.1.0 (2015-02-25) 起支持 cap_add。官方文档:cap_add, cap_drop。用法:

前面的 docker-compose.yml 改写后文件内容如下(相同内容部分就不重复贴了):

version: '2'

services:
 mysql:
 ...
 api:
 ...
 cap_add:
  - SYS_PTRACE

补充知识:关于docker容器中使用jmap等工具报错问题解决

首先贴出错误截图:

错误产生的原因, 是因为docker 1.10版本之后 默认禁用了ptrace

解决办法就是我们运行容器打开ptrace:

在docker-compose.yml中加入如下代码可解决:

保存后运行docker-compose up -d, 然后进入容器, docker exec -it <容器名> /bin/bash

再次使用jmap等工具, 就不会报错了。

以上这篇Docker 解决openjdk容器里无法使用JDK的jmap等命令问题就是小编分享给大家的全部内容了,希望能给大家一个参考,也希望大家多多支持自学编程网。

编程技巧