[docker-in-docker] Not working with Docker Desktop and Enhanced Container Isolation
メンテナーはふだん 5 日以内に返信
@v-Mathiyarasy がすでに取り組んでいます。
2025年4月7日 から。
評価
この issue はまだ評価されていません。
説明
The feature docker-in-docker fails to start the docker daemon with the error message
mount: /sys/kernel/security: permission denied.
dmesg(1) may have more information after failed mount system call.
Could not mount /sys/kernel/security.
AppArmor detection and --privileged mode might break.
when using a devcontainer with the Docker Desktop Hyper-V backend and having Enhanced Container Isolation enabled.
The container is started using --privileged however there are still some restrictions:
Containers become harder to breach. For example, sensitive system calls are vetted and portions of /proc and /sys are emulated inside the container.
This part of the code that checks for AppArmor stops the start, even though it would otherwise work perfectly fine.
if [ -d /sys/kernel/security ] && ! mountpoint -q /sys/kernel/security; then
mount -t securityfs none /sys/kernel/security || {
echo >&2 'Could not mount /sys/kernel/security.'
echo >&2 'AppArmor detection and --privileged mode might break.'
}
fi
When building the container with ECI disabled and then running the built container with it enabled, everything works fine.
I would propose to either add a feature flag to disable the check or remove it altogether, however I am not too sure how many run into issues with running AppArmor inside a devcontainer base container.
- 主要言語
- Shell
- スター
- 1.5k
- フォーク
- 624
- 平均マージ
- 4日 8時間
- マージ済み PR（30日）
- 7
環境構築
このプロジェクトの開発コンテナを、あなたの GitHub アカウントでブラウザ上に起動します。
- Dockerfile・Docker Compose ファイルなし
- プルリクエストのテンプレートなし
- コントリビューションガイドを読む
はじめの一歩
- issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
- 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
- リポジトリをフォークし、ブランチを切って変更します。
- issue 番号を参照したプルリクエストを送ります。
devcontainers/features のほかの issue
-
難易度 4/5 3〜5日 初心者へのやさしさ 48/100
devcontainers/features#1730 ·
メンテナーはふだん 5 日以内に返信
-
Version resolution over unauthenticated git makes feature installs fail hard, with no fallback対応中かも @v-Kaniska244 が 35 日前に担当しました。 オープン
devcontainers/features#1726 · コメント 2 件 · 担当者 1 名 ·
メンテナーはふだん 5 日以内に返信
-
[docker-in-docker] v4 with iptablesSwitchAtRuntime:true default on Ubuntu 26.04 host/devcontainer image activates iptables-legacy instead of iptables-nft再び着手できるかも @v-Kaniska244 が 52 日前に担当しましたが、オープン中のプルリクエストはありません。 オープン
devcontainers/features#1709 · リアクション 1 件 · 担当者 1 名 ·
メンテナーはふだん 5 日以内に返信
-
難易度 4/5 3〜5日 初心者へのやさしさ 45/100
devcontainers/features#1707 ·
メンテナーはふだん 5 日以内に返信
-
Parser failure on "localEnv:" in devcontainer-feature.json再び着手できるかも @v-Kaniska244 が 67 日前に担当しましたが、オープン中のプルリクエストはありません。 オープン
devcontainers/features#1704 · リアクション 1 件 · 担当者 1 名 ·
メンテナーはふだん 5 日以内に返信
devcontainers/features の issue をすべて見る
似ている issue
-
type: bug
難易度 2/5 1〜3時間 初心者へのやさしさ 76/100
blamechris/chroxy#8579 ·
メンテナーはふだん 1 日以内に返信
-
bug raised-by:reviewer
難易度 2/5 1〜3時間 初心者へのやさしさ 76/100
medici-finance/assay#2677 ·
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 68/100
navikt/mlx-workspace#218 ·
メンテナーはふだん 1 日以内に返信
-
enhancement
難易度 2/5 1〜3時間 初心者へのやさしさ 72/100
alunduil/alunduil-chezmoi#895 ·
メンテナーはふだん 1 日以内に返信
-
Sub-second duration displays incorrectly for commands taking < 100ms (e.g. 50ms renders as 0.50s)オープン
難易度 1/5 1時間未満 初心者へのやさしさ 91/100