[docker-in-docker] Not working with Docker Desktop and Enhanced Container Isolation
I maintainer di solito rispondono entro 5 giorni
@v-Mathiyarasy ci sta già lavorando.
Dal 7/4/2025.
Valutazione
Questa issue non è ancora stata valutata.
Descrizione
The feature docker-in-docker fails to start the docker daemon with the error message
mount: /sys/kernel/security: permission denied.
dmesg(1) may have more information after failed mount system call.
Could not mount /sys/kernel/security.
AppArmor detection and --privileged mode might break.
when using a devcontainer with the Docker Desktop Hyper-V backend and having Enhanced Container Isolation enabled.
The container is started using --privileged however there are still some restrictions:
Containers become harder to breach. For example, sensitive system calls are vetted and portions of /proc and /sys are emulated inside the container.
This part of the code that checks for AppArmor stops the start, even though it would otherwise work perfectly fine.
if [ -d /sys/kernel/security ] && ! mountpoint -q /sys/kernel/security; then
mount -t securityfs none /sys/kernel/security || {
echo >&2 'Could not mount /sys/kernel/security.'
echo >&2 'AppArmor detection and --privileged mode might break.'
}
fi
When building the container with ECI disabled and then running the built container with it enabled, everything works fine.
I would propose to either add a feature flag to disable the check or remove it altogether, however I am not too sure how many run into issues with running AppArmor inside a devcontainer base container.
- Lingua principale
- Shell
- Stelle
- 1.5k
- Fork
- 624
- Merge medio
- 4g 8h
- PR unite (30g)
- 7
Preparare l'ambiente
Avvia il container di sviluppo del progetto nel browser, con il tuo account GitHub.
- Nessun Dockerfile né file Docker Compose
- Nessun modello di pull request
- Leggi la guida per i contributori
Come iniziare
- Leggi tutta la issue e poi la guida ai contributi del progetto.
- Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
- Fai un fork del repository e lavora su un branch.
- Apri una pull request che faccia riferimento al numero della issue.
Altre issue di devcontainers/features
-
use mise for java feature installation or make sdkman configuable to download JDK from mirrosAperta
Difficoltà 4/5 3-5 giorni Idoneità per principianti 48/100
devcontainers/features#1730 ·
I maintainer di solito rispondono entro 5 giorni
-
Version resolution over unauthenticated git makes feature installs fail hard, with no fallbackForse già presa @v-Kaniska244 l’ha presa 35 giorni fa. Aperta
devcontainers/features#1726 · 2 commenti · 1 assegnatario ·
I maintainer di solito rispondono entro 5 giorni
-
[docker-in-docker] v4 with iptablesSwitchAtRuntime:true default on Ubuntu 26.04 host/devcontainer image activates iptables-legacy instead of iptables-nftForse di nuovo libera @v-Kaniska244 l’ha presa 53 giorni fa e non c’è nessuna pull request aperta. Aperta
devcontainers/features#1709 · 1 reazione · 1 assegnatario ·
I maintainer di solito rispondono entro 5 giorni
-
Difficoltà 4/5 3-5 giorni Idoneità per principianti 45/100
devcontainers/features#1707 ·
I maintainer di solito rispondono entro 5 giorni
-
Parser failure on "localEnv:" in devcontainer-feature.jsonForse di nuovo libera @v-Kaniska244 l’ha presa 68 giorni fa e non c’è nessuna pull request aperta. Aperta
devcontainers/features#1704 · 1 reazione · 1 assegnatario ·
I maintainer di solito rispondono entro 5 giorni
Tutte le issue di devcontainers/features
Issue simili
-
Bluetooth can't be turned back on from the bar on ThinkPads: rfkill block removes the adapterAperta
Difficoltà 2/5 1-3 ore Idoneità per principianti 74/100
I maintainer di solito rispondono entro 1 giorno
-
[Linux] --calibrate combined with --model silently falls through to plain re-setup (setup.py:4958)Aperta
Difficoltà 2/5 1-3 ore Idoneità per principianti 75/100
I maintainer di solito rispondono entro 1 giorno
-
needs-triage priority: medium
Difficoltà 2/5 1-3 ore Idoneità per principianti 76/100
melodic-software/claude-code-plugins#7288 · 1 commento ·
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 1/5 Meno di un'ora Idoneità per principianti 84/100
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 78/100
I maintainer di solito rispondono entro 1 giorno