| 用途 | 调整 /dev/shm 容量 |
|---|---|
| 语法 | --shm-size=512m |
| 默认 | 64m |
示例
示例
docker run -d --shm-size=512m --name chrome browser/headless:126
docker exec chrome df -h /dev/shmtmpfs 页计入容器内存 cgroup，设了 --memory 时调大 shm 等于压缩应用可用内存，要一起评估。
本包目录（366 条）
基础命令50 条镜像与构建107 条网络与存储52 条Compose 编排55 条
资源与安全50 条
- docker run --memory 内存硬限制
- docker run --cpus 限制 CPU
- 容器内使用非 root 用户运行
- 用 docker stats 验证限额生效
- 容器 OOM 的识别与处理
- daemon.json 常用加固项
- 容器默认没有资源限制
- --privileged 的影响与替代方案
- 内核能力收敛 --cap-drop / --cap-add
- 加固运行基线组合命令
- docker update 动态调整资源限制
- 挂载 docker.sock 的风险与控制
- 环境变量传密钥的泄露面
- docker run --pids-limit 限制进程数
- seccomp 系统调用过滤
- 批量审计高危容器配置
- inspect 核对容器资源限额
- 只读根文件系统 --read-only
- docker run --ulimit 设置进程资源上限
- 按 digest 固定部署镜像
- 禁止权限提升 no-new-privileges
- 远程 API 暴露与 TLS 保护
- docker run --cap-add 精细补能力
- docker scout 官方漏洞扫描
- docker run --cpuset-cpus 绑定 CPU 核
- 用户命名空间映射 userns-remap
- docker 组成员等效 root 的审计
- Trivy 镜像漏洞扫描
- docker run --cpu-shares 相对权重
- rootless 模式运行 Docker
- docker run --memory-reservation 内存软限制
- 确认 cgroup 版本与驱动
- AppArmor 与容器配置校验
- docker run --shm-size 调整共享内存
- docker run --memory-swap 交换空间控制
- --pid=host 等宿主命名空间审计
- 用 socket 代理收敛 Docker API
- Falco 运行时行为检测
- docker run --oom-score-adj 调整 OOM 优先级
- cosign 镜像签名验证
- docker run --cpu-period / --cpu-quota 精确配额
- 容器 swap 倾向 --memory-swappiness
- docker run --device 最小设备授权
- Docker Bench 基线自查
- docker run --blkio-weight 块 IO 权重
- docker run --sysctl 内核参数（白名单）
- 容器内 sudo 的检查与清理
- SELinux 卷标签 :z 与 :Z
- 凭据助手 credential helper
- docker run --cgroup-parent 指定父 cgroup
docker run --shm-size 调整共享内存
设置容器 /dev/shm 大小（默认 64m）：浏览器渲染、数据库与多进程服务常因共享内存不足失败，可显式放大并纳入内存预算。
易错点
- Headless 浏览器类容器忘了它默认 64m，表现为莫名其妙的渲染崩溃且日志含糊
- 调大后没有同步检查 --memory 限额，容器更早触发 OOM 却归咎于应用
数据来源与参考
- Docker 官方 CLI 参考：docker run --shm-size（docs.docker.com）