容器无法直接访问宿主机硬件是因默认设备隔离，需通过--device挂载、nvidia工具链或privileged模式解决，k8s中须用deviceplugin等机制实现。
容器内无法直接访问宿主机特定硬件（如 GPU、串口设备、USB 摄像头、FPGA、PCIe 设备等），不是网络连通性问题，而是权限与设备可见性问题。微服务架构下，这种需求常出现在边缘计算、AI推理、工业采集等场景——服务需在容器中调用本地硬件加速或外设，但 Docker 默认隔离了设备节点。
确认硬件是否可被容器识别
宿主机上先验证设备存在且可访问：
- 查 USB 设备：
lsusb或ls /dev/tty*（串口）、lspci | grep -i nvidia（GPU） - 确认当前用户有读写权限（如
sudo usermod -aG dialout $USER加入串口组） - 检查 udev 规则是否为设备分配了稳定路径（避免
/dev/ttyUSB0变成/dev/ttyUSB1）
方案一：通过 --device 显式挂载设备节点（最常用）
适用于串口、摄像头、GPIO 等字符/块设备。容器启动时将宿主机设备文件直接映射进去：
docker run -d --device=/dev/ttyUSB0:/dev/ttyUSB0 --device=/dev/video0:/dev/video0 my-service- 微服务代码中仍使用
/dev/ttyUSB0，无需改逻辑 - 注意：设备必须在容器启动前已存在；热插拔不自动生效
方案二：使用 NVIDIA Container Toolkit（GPU 场景专用）
不是简单挂载 /dev/nvidia*，而是注入驱动、CUDA 库和运行时环境：
- 宿主机安装 NVIDIA 驱动 + nvidia-docker2
- 启动容器时加
--gpus all或--gpus device=0,2 docker run -it --gpus all nvidia/cuda:12.2.0-base-ubuntu22.04 nvidia-smi- 微服务镜像需基于官方 CUDA 镜像，或手动安装对应版本的 CUDA toolkit
方案三：以 privileged 模式 + 设备透传（谨慎使用）
仅限开发调试或可信封闭环境（如工厂边缘网关）。赋予容器近乎宿主机的权限：
docker run -d --privileged --network host my-edge-service- 此时容器可访问
/dev全部设备、加载内核模块、操作 I/O 端口 - 安全风险高：打破容器边界，不适用于多租户或公网暴露的服务
- 建议配合
--cap-drop=ALL和显式--cap-add最小化权限（如--cap-add=SYS_ADMIN --cap-add=NET_ADMIN）
关键补充：在 Kubernetes 微服务编排中，上述能力需通过 SecurityContext、DevicePlugin（如 k8s-device-plugin 支持 GPU/InfiniBand/FPGA）或 hostPath volume（仅限静态设备）实现，不能直接用 --device。实际部署应优先封装为 Device Plugin，由调度器统一管理硬件资源分配。
