关于docker daemon如何初始化seccomp filter的问题

Question

我阅读了moby项目的原始代码，并阅读了moby/profiles文件夹中的seccomp代码。 我知道 docker 使用 libseccomp-golang 来支持该功能。

我们通常使用libseccomp.NewFilter() API 创建一个 seccomp 过滤器。 但是，除了libseccomp.GetNativeArch()可以在

moby/profiles/seccomp/seccomp.go

所以我想知道 docker 守护进程如何为每个容器初始化 seccomp 过滤器？ 如果我错了，请纠正我。

Answer 1

所以我想知道 docker 守护进程如何为每个容器初始化 seccomp 过滤器？

docker 守护进程调用containerd ，然后调用runc 。

seccomp 过滤器由runc 此处使用InitSeccomp方法安装，您可以在此处找到InitSeccomp的定义。

这个问题可以为您提供有关如何使用runc的高级概述。