如何设置Docker容器对特定硬件的访问权限限制？

本文共计1019个文字，预计阅读时间需要5分钟。

Docker容器默认无法访问宿主机的某些设备（如/dev/sda、/dev/nvidia0、/dev/ttyUSB0等），必须显式授权才能使用。限制硬件访问的核心思路是：

用 --device 显式挂载并限定权限

这是最直接、最安全的做法。不加 `--device`，容器里根本看不到对应设备文件；加了，才真正赋予访问能力，并可细化控制。

• 语法格式：
  docker run --device <宿主机路径>:<容器内路径>[:<模式>]

• 常见模式：

  • :r：只读（如 --device /dev/sr0:/dev/sr0:r，仅允许读光驱）
  • :w：只写（极少用，一般不单独配置）
  • :rw 或省略：读写（默认，但实际操作仍受 capability 和 cgroups 约束）

• 示例：
  docker run -it --device /dev/video0:/dev/video0:r ubuntu:22.04
  容器内只能读取摄像头，不能写入或控制参数。

注意：即使挂载为 `:rw`，若容器进程没有 `SYS_ADMIN` 或 `SYS_RAWIO` capability，也无法执行某些特权操作（如格式化磁盘）。所以挂载只是第一步，不是万能通行证。