LXC 容器的配置文件位置

/etc/pve/nodes/<主机名>/lxc/<CT ID>.conf

常规配置

lxc.apparmor.profile: unconfined
lxc.cap.drop: 
lxc.cgroup.devices.allow: a
lxc.cgroup2.devices.allow: a

• lxc.apparmor.profile: unconfined 这个设置指定了 AppArmor（一种 Linux 安全模块）的配置文件，unconfined 表示容器中的进程不受限制，可以访问主机上的所有资源。这意味着该容器中的进程可以执行更多的操作，但也增加了安全风险。
• lxc.cap.drop: 这是一个空的设置，表示不限制容器中进程的 Linux 能力（capabilities）。Capabilities 是 Linux 内核提供的一种细粒度权限机制，通过限制容器中进程的能力，可以提高系统的安全性。
• lxc.cgroup.devices.allow: a 这个设置允许容器中的进程访问所有的设备（devices）。cgroup 是 Linux 内核提供的一种资源管理机制，这里配置允许容器中的进程访问主机上的所有设备。
• lxc.cgroup2.devices.allow: a 类似于上面的设置，这个配置允许容器中的进程访问 cgroup2 中的所有设备。

核显映射

lxc.mount.entry: /dev/dri dev/dri none bind,optional,create=dir

lxc.mount.entry: /dev/dri dev/dri none bind,optional,create=dir 这个设置用于挂载主机上的 /dev/dri 到容器内部的 /dev/dri，bind 表示共享主机和容器的设备文件，optional 表示挂载是可选的，create=dir 表示在容器中创建一个目录。

TUN 设备

lxc.mount.entry: /dev/net/tun dev/net/tun none bind,create=file

lxc.mount.entry: /dev/net/tun dev/net/tun none bind,create=file 这个设置用于挂载主机上的 /dev/net/tun 到容器内部的 /dev/net/tun，bind 表示共享主机和容器的设备文件，create=file 表示在容器中创建一个文件。