zlim/bcc 打包 BPF Compiler Collection 与常用 tracing 脚本，通过 USDT/kprobe 观察 syscall、块 IO 与网络栈延迟。运行通常需要 --privileged 或 --cap-add=SYS_ADMIN、挂载 /sys 与 /lib/modules，不适合作为无特权 Kubernetes Deployment。正确用法是在节点上以 --pid=host --net=host 临时诊断，或通过 DaemonSet 且明确 tolerations 与 hostPID。

快速启动

docker run --rm -it --privileged \
  -v /lib/modules:/lib/modules:ro \
  docker.io/zlim/bcc:latest \
  execsnoop

推荐实践

docker run --rm --privileged \
  --pid=host --net=host \
  -v /lib/modules:/lib/modules:ro \
  -v /sys:/sys:ro \
  docker.io/zlim/bcc:0.30.0 \
  biolatency -m

核心参数说明

• --privileged — BPF 加载与 kprobe 所需权限
• --pid=host — 观测宿主机进程空间
• -v /lib/modules:...:ro — 匹配内核版本的模块
• execsnoop / biolatency — 具体追踪脚本名
• --rm — 诊断结束即删容器
• 安全 — 特权容器仅限可信运维节点