我试图以非 root 用户身份在 docker 容器内运行 google-chrome --headless 以执行一些测试。 每次我试图启动它时，它都会抛出以下错误：
google-chrome --headless
无法移动到新命名空间：支持 PID 命名空间，支持网络命名空间，但失败：errno = 不允许操作 生成minidump失败。非法指令
它是一个运行在 k8s 集群中的 docker 容器。 操作系统为 Ubuntu 16.04。
命名空间已启用，用户不是 root
我不想使用 --no-sandbox 选项，因为这是一个安全问题。
我不能使用 docker run --security-opt=syscomp:unconfined 因为它正在使用 helm 进行部署。
是否缺少我需要在容器本身中为 chrome 设置的系统权限？
【问题讨论】：
标签： linux docker google-chrome kubernetes-helm google-chrome-headless
虽然这不能回答你的问题，因为你不能设置security-opt，这对于其他有类似问题的人来说仍然是一个很好的解决方案。
下载此chrome.json 文件，其中包含自定义安全配置文件。
将安全配置文件与 --security-opt seccomp=path/to/chrome.json 或 docker-compose 一起使用：
# docker-compose.yml
version: '3'
services:
<service name>:
#
# the service configuration
#
security_opt:
- seccomp=<path to downloaded chrome.json>
【讨论】：
在广泛研究互联网后，我想我找到了答案：
沙盒 出于安全原因，Google Chrome 在基于容器的环境中运行时无法提供沙盒。 要在基于容器的环境中使用 Chrome，请将 --no-sandbox 标志传递给 chrome 可执行文件
所以看起来没有比 --no-sandbox 更好的解决方案了因为它在容器内运行，任何方式都受到额外保护。
【讨论】：