创建带内核参数的docker容器需区分宿主机sysctl参数（用--sysctl传入命名空间化项如net.*）和需特权的能力（如--cap-add=sys_admin），全局参数（如vm.swappiness）必须在宿主机配置，容器仅继承；非sysctl类调度控制（如--cpuset-cpus）属资源绑定而非内核参数。
创建带有内核参数的 Docker 容器，关键在于区分两类“内核参数”：
-
宿主机内核参数（sysctl）：影响整个系统行为，需在容器启动时通过
--sysctl传入（仅对支持的命名空间生效）； -
容器运行时内核功能开关（如 cgroup、namespace）：由宿主机内核配置决定，容器本身无法直接启用，但可通过
--privileged或特定--cap-add启用部分能力。
下面分场景说明如何正确创建：
宿主机已调优，容器启动时指定 sysctl 参数
适用于网络、内存、IPC 等可命名空间化的内核参数。例如：
docker run --sysctl net.ipv4.ip_forward=1 \
--sysctl net.core.somaxconn=1024 \
--sysctl vm.swappiness=1 \
-it ubuntu:22.04
⚠️ 注意：
-
--sysctl只能设置已命名空间化的参数（如net.*,fs.*,kernel.msg*），不能修改vm.swappiness这类全局参数（它属于 host-wide 设置，容器内设无效）； - 若强行传入不支持的参数（如
vm.swappiness），Docker 会报错：sysctl: cannot write to kernel parameter； - 正确做法是：在宿主机
/etc/sysctl.conf中配置并sysctl -p生效，再启动容器——容器会继承该宿主机状态。
需要特权或能力扩展的场景
某些内核功能（如加载内核模块、修改 cgroup v2 行为、调整 PID namespace 限制）必须显式授权：
# 允许修改 /proc/sys 下多数参数（含部分非命名空间化项） docker run --privileged -it ubuntu:22.04 # 或更精细地添加能力（推荐替代 --privileged） docker run --cap-add=SYS_ADMIN --cap-add=NET_ADMIN -it ubuntu:22.04
✅ 常见合理组合：
-
--cap-add=SYS_ADMIN：用于 mount、cgroup 操作、部分 sysctl 写入； -
--cap-add=NET_ADMIN：用于配置 iptables、开启转发、调整 conntrack； -
--ulimit nofile=65536:65536：提升文件描述符限制（对应fs.file-max宿主机调优后才有效）。
启动时绑定硬件资源与内核调度行为
这类不是“sysctl 参数”，但直接影响内核调度策略，常被误认为内核参数：
# 绑定到特定 CPU 核心（影响 CFS 调度） docker run --cpuset-cpus="0-1" -it ubuntu:22.04 # 设置 CPU 权重（相对份额） docker run --cpu-shares=2048 -it ubuntu:22.04 # 启用 lazytime 挂载选项（需宿主机挂载时已设置，容器内不可改） # → 此项在宿主机 mount 时指定：mount -o remount,lazytime /var/lib/docker
总结操作要点
- 容器内不能“创建”新内核参数，只能读取或有限写入已命名空间化的参数；
- 真正的内核调优（如
cgroup_no_v1=all、vm.swappiness=1、pid_max=65535）必须在宿主机层面完成； - 容器启动命令中
--sysctl是传递 允许命名空间化的参数，不是通用内核配置入口； - 需深度控制时（如调试 overlay2、启用 seccomp-bpf、修改 namespace 默认行为），优先检查宿主机内核编译选项（
CONFIG_CGROUPS=y,CONFIG_NAMESPACES=y等）是否开启。
不复杂但容易忽略：先 docker info | grep "Kernel Version" 确认内核版本，再查 check-config.sh 验证关键功能是否启用，比盲目加 --privileged 更安全可靠。
