测验：从 /proc 看容器

/proc/PID/ns/net符号链接中方括号中的数字是什么意思？

• 容器的短ID值
• 进程的调度优先级
• 命名空间inode编号——如果相同则为同一个命名空间
• 分配的网络接口号

如何快速找出一个陌生进程属于主机上的哪个容器？

• 参见/proc/PID/cmdline
• /proc/PID/cgroup查看路径中包含的容器ID
• 参见/proc/PID/environ
• 扫描所有docker ps

/proc/PID/mountinfo的覆盖项中的lowerdir列表是什么意思？

• 图像中的只读图层
• 卷挂载列表
• 容器的写层
• 临时文件系统

如果/proc/PID/status中的CapEff是0000000000000000怎么办？

• 以 root 身份运行
• seccomp 已关闭
• 没有有效的能力
• 没有命名空间

docker stats看起来有足够的空间，但发生了 OOMKilled。检查什么是正确的？

• 图像的总大小、层数和基本图像类型
• 容器重启策略和终止历史
• cgroup 中的memory.max和memory.peak/memory.current
• 容器使用的网络带宽

NoNewPrivs: 1这个卡住的过程中会发生什么？

• 无法向文件系统写入任何内容
• 无法与网络进行通信
• 您不能使用 fork 或 clone 创建子进程。
• 此后，无法使用 execve 中的 setuid 位或文件功能来获取权限。