如何确定进程是否在 lxc/Docker 内部运行？

Question

有没有办法确定一个进程（脚本）是否在 lxc 容器（〜 Docker 运行时）内运行？我知道有些程序能够检测它们是否在虚拟机中运行，lxc/docker 有类似的东西吗？

Answer 1

Docker 在容器内目录树的根目录下创建一个.dockerenv 文件。 你可以运行这个脚本来验证

#!/bin/bash
if [ -f /.dockerenv ]; then
    echo "I'm inside matrix ;(";
else
    echo "I'm living in real world!";
fi

更多： Ubuntu 实际上有一个 bash 脚本：/bin/running-in-container，它可以返回调用它的容器类型。可能会有所帮助。 不过不知道其他主要发行版。

Answer 2

最可靠的方法是查看/proc/1/cgroup。它会告诉你初始化进程的控制组，当你不是在容器中时，所有层次结构都是/。当您在一个容器中时，您将看到锚点的名称。对于 LXC/Docker 容器，它将分别类似于 /lxc/<containerid> 或 /docker/<containerid>。

Answer 3

在新的 ubuntu 16.04 系统上，新的 systemd 和 lxc 2.0

sudo grep -qa container=lxc /proc/1/environ

Answer 4

在 bash 脚本中检查 docker/lxc 的简洁方法是：

#!/bin/bash
if grep -sq 'docker\|lxc' /proc/1/cgroup; then
   echo I'm running on docker.
fi

Answer 5

检查是否在 Docker 中运行的便捷 Python 函数：

def in_docker():
    """ Returns: True if running in a Docker container, else False """
    with open('/proc/1/cgroup', 'rt') as ifh:
        return 'docker' in ifh.read()

Answer 6

我们使用 proc 的 sched (/proc/$PID/sched) 来提取进程的 PID。容器内进程的 PID 与主机（非容器系统）上的 PID 不同。

例如，/proc/1/sched 在容器上的输出 将返回：

root@33044d65037c:~# cat /proc/1/sched | head -n 1
bash (5276, #threads: 1)

在非容器主机上：

$ cat /proc/1/sched  | head -n 1
init (1, #threads: 1)

这有助于区分您是否在容器中。

Answer 7

最简单的方法是检查环境。如果你有 container=lxc 变量，你就在一个容器中。

否则，如果你是root，你可以尝试执行mknod或mount操作，如果失败，你很可能在一个能力下降的容器中。

Answer 8

我的回答仅适用于 Node.js 进程，但可能与一些偶然发现此问题并寻找 Node.js 特定答案的访问者相关。

我遇到了同样的问题，我依赖 /proc/self/cgroup 创建了一个 npm 包 仅用于此目的 - 检测 Node.js 进程是否在 Docker 容器内运行。

containerized npm module 将在 Node.js 中帮助您。它目前尚未在 Io.js 中进行测试，但也可以在那里工作。

Answer 9

这是一个老问题，但非常好。 :)

我编写了一些我们在裸机、VM 和 docker 容器上运行的自动化脚本，其逻辑分支基于脚本在哪个平台上执行。在我的情况下，我有权同时创建容器和 docker 映像，所以这个解决方案只有在你控制整个堆栈的情况下才有效：

Dockerfile 片段：

FROM ubuntu:18.04

ENV PLATFORM="docker"

RUN apt update; \
...

然后，该脚本可以检查 $PLATFORM 的值以获得每个平台上的预期结果：

#!/bin/bash

# Check for executor specification in environment
case $PLATFORM in
  docker)
    # If running in Docker, do this stuff
    echo "Running containerized, proceeding..."
    ;;
  virtual)
    # If running in a VM, do different stuff
    echo "Running on a VM, loading VM stuff..."
    modprobe some-kernel-module
    ;;
  *)
    echo "Unknown executor specified! Exiting..."
    exit 1
    ;;
esac

为了简洁，我在上面的代码中省略了baremetal。

Answer 10

我已将 JJC 的答案翻译成 ruby​​

def in_docker
  File.open('/proc/1/cgroup', 'rt') do |f|
    contents = f.read
    return contents =~ /docker/i || contents =~ /kubepod/i
  end
rescue StandardError => e
  p 'Local development'
  p e
  false
end

Answer 11

在 Python 中检查上述所有解决方案：

import os

def in_container():
    proc_1 = r'/proc/1/sched'

    if os.path.exists(proc_1):
        with open(proc_1, 'r') as fp:
            out = fp.read()
    else:
        out = ''

    checks = [
        'docker' in out,
        '/lxc/' in out,
        out.split(' ')[0] not in ('systemd', 'init',),
        os.path.exists('./dockerenv'),
        os.path.exists('/.dockerinit'),
        os.getenv('container') is not None
    ]
    return any(checks)


if __name__ == '__main__':
    print(in_container())

概念证明：

$ docker run --rm -it --mount type=bind,source=${PWD}/incontainer.py,target=/tmp/script.py python:3 python /tmp/script.py
True

Answer 12

本SO问答："Find out if the OS is running in a virtual environment";虽然与 OP 的问题不同，但它确实回答了查找您所在容器的常见情况（如果有的话）。

特别是，安装并阅读这个似乎运行良好的 bash 脚本的代码：

virt-what：

sudo apt install virt-what

Answer 13

golang代码获取pid container_id，可以获取map container_id获取docker镜像

func GetContainerID(pid int32) string {
    cgroupPath := fmt.Sprintf("/proc/%s/cgroup", strconv.Itoa(int(pid)))
    return getContainerID(cgroupPath)
}

func GetImage(containerId string) string {
    if containerId == "" {
        return ""
    }
    image, ok := containerImage[containerId]
    if ok {
        return image
    } else {
        return ""
    }
}
func getContainerID(cgroupPath string) string {
    containerID := ""
    content, err := ioutil.ReadFile(cgroupPath)
    if err != nil {
        return containerID
    }
    lines := strings.Split(string(content), "\n")
    for _, line := range lines {
        field := strings.Split(line, ":")
        if len(field) < 3 {
            continue
        }
        cgroup_path := field[2]
        if len(cgroup_path) < 64 {
            continue
        }
        // Non-systemd Docker
        //5:net_prio,net_cls:/docker/de630f22746b9c06c412858f26ca286c6cdfed086d3b302998aa403d9dcedc42
        //3:net_cls:/kubepods/burstable/pod5f399c1a-f9fc-11e8-bf65-246e9659ebfc/9170559b8aadd07d99978d9460cf8d1c71552f3c64fefc7e9906ab3fb7e18f69
        pos := strings.LastIndex(cgroup_path, "/")
        if pos > 0 {
            id_len := len(cgroup_path) - pos - 1
            if id_len == 64 {
                //p.InDocker = true
                // docker id
                containerID = cgroup_path[pos+1 : pos+1+64]
                // logs.Debug("pid:%v in docker id:%v", pid, id)
                return containerID
            }
        }
        // systemd Docker
        //5:net_cls:/system.slice/docker-afd862d2ed48ef5dc0ce8f1863e4475894e331098c9a512789233ca9ca06fc62.scope
        docker_str := "docker-"
        pos = strings.Index(cgroup_path, docker_str)
        if pos > 0 {
            pos_scope := strings.Index(cgroup_path, ".scope")
            id_len := pos_scope - pos - len(docker_str)
            if pos_scope > 0 && id_len == 64 {
                containerID = cgroup_path[pos+len(docker_str) : pos+len(docker_str)+64]
                return containerID
            }
        }
    }
    return containerID
}

Answer 14

Docker 每天都在发展，所以我们不能确定他们将来是否会保留.dockerenv .dockerinit。

在大多数 Linux 风格中，init 是第一个启动的进程。但在容器的情况下，情况并非如此。

#!/bin/bash
if ps -p1|grep -q init;then  
  echo "non-docker" 
else 
  echo "docker" 
fi

Answer 15

这是 Ruby 中的一个解决方案，

# Usage: DockerHelper.running_in_docker?
module DockerHelper
  extend self

  def running_in_docker?
    !!(File.read("/proc/1/cgroup") =~ %r[^\d+:\w+:/docker/]) # !! => true/false
  rescue Errno::ENOENT
    false
  end
end

如果你喜欢用你的代码进行测试，here's a spec in the gist。

Answer 16

在 docker 容器中，条目 /proc/self/cgroup 被挂载到主机上的 cgroups。

例如在容器中

# awk -F: '/cpuset/' /proc/self/cgroup
3:cpuset:/docker/22bd0c154fb4e0d1b6c748faf1f1a12116acc21ce287618a115ad2bea41256b3

而在主机上也是如此

$ awk -F: '/cpuset/' /proc/self/cgroup
3:cpuset:/

在 shell 中使用某些东西进行低调测试

is_running_in_container() {
  awk -F: '/cpuset/ && $3 ~ /^\/$/{ c=1 } END { exit c }' /proc/self/cgroup
}

if is_running_in_container; then
  echo "Aye!! I'm in a container"
else 
  echo "Nay!! I'm not in a container"
fi

Answer 17

也许这可以解决问题：

if [ -z $(docker ps -q) ]; then
    echo "There is not process currently running"
else
    echo "There are processes running"
fi

这就是你想要的吗？希望对你有帮助=)