昇腾NPU容器化部署：特权模式与安全隔离实践

1. 理解 privileged: true 的本质与风险

在昇腾 NPU 的容器化部署场景中，privileged: true 是一个既关键又危险的配置项。这个标志位实际上解除了 Docker 默认的所有安全限制，让容器获得了与宿主机 root 用户几乎等同的权限。具体来说，它主要做了以下几件事：

• 解除 capabilities 限制：普通容器默认只有约 15 项 Linux capabilities（如 CAP_NET_BIND_SERVICE），而特权容器拥有全部 38 项能力，包括 CAP_SYS_ADMIN（允许挂载文件系统）、CAP_NET_ADMIN（修改网络配置）等高危权限。

• 绕过设备访问控制：即使没有显式挂载 /dev/davinci* 设备，特权容器也能看到并访问所有 NPU 设备。这是因为 /dev 下的设备访问由设备的 cgroup 控制器管理，而特权模式会忽略这些限制。

• 突破 namespace 隔离：特权容器可以看到宿主机的进程、网络、用户等全局视图。例如，在容器内执行 ps aux 会显示宿主机所有进程，而非仅容器内进程。

警告：在生产环境中启用特权模式前，必须确认容器镜像来源绝对可信。一个恶意的特权容器可以在几秒内破坏整个宿主机系统。

2. 昇腾 NPU 对特权容器的真实需求

昇腾 CANN 驱动在初始化时需要执行一系列底层操作，这些操作在普通容器中通常会失败：

1. 设备寄存器访问：通过 /dev/davinci_manager 设备执行 ioctl 调用（错误码 drvErr=87 的常见原因）
2. 内存映射操作：通过 /dev/devmm_svm 建立 NPU 显存映射
3. 系统信息采集：读取 /sys/class/davinci*/ 下的拓扑和性能数据
4. 调试接口调用：访问 /dev/drv_debug 进行错误诊断

实测表明，即使显式挂载了所有相关设备文件，非特权容器仍然可能因 capabilities 不足导致驱动初始化失败。这也是华为官方示例普遍使用特权模式的根本原因。

3. NPU 设备隔离的精准控制方案

3.1 传统设备挂载的局限性

很多开发者尝试通过