1. 背景

Snt9B裸金属服务器包含8张独立的npu，均可独立进行训练和推理任务。在创建docker容器时，可以通过如下命令指定挂载npu卡。如下的命令为：在docker容器中挂载0、1、2、3号npu。

-e ASCEND_VISIBLE_DEVICES=0-3

2. 问题描述

分别使用如下命令创建两个docker容器，期望在容器test0挂载0~3号npu，在容器test1挂载4~7号npu，但发现docker容器中并没有挂载指定卡，而是挂载了全部8张卡。

docker run -itd --privileged --cap-add=SYS_PTRACE --net=host \
--shm-size="32g" \
-e ASCEND_VISIBLE_DEVICES=0-3 \
--name test0 \
swr.cn-southwest-2.myhuaweicloud.com/devserver/pytorch_llama2_13b:0.1.0  \
/bin/bash

docker run -itd --privileged --cap-add=SYS_PTRACE --net=host \
--shm-size="32g" \
-e ASCEND_VISIBLE_DEVICES=4-7 \
--name test1 \
swr.cn-southwest-2.myhuaweicloud.com/devserver/pytorch_llama2_13b:0.1.0  \
/bin/bash

当在一个test0容器中执行npu操作后(如npu-smi info)，会显示全部8张npu的信息，且在test1容器再执行npu操作时会卡死，并报错：

3. 解决方案

这是由于使用 --privileged 导致的问题，--privileged 会使docker容器拥有几乎与主机相同的权限，具体而言，包含以下两点：

1. 给容器添加了所有的capabilities

2. 允许容器访问主机的所有设备。

所以，应该尽量使用更细粒度的权限控制手段，通过--cap-add或--device参数来分别添加必要的capabilities或设备访问权限。

本文提供两种方案：

3.1 通过ASCEND_VISIBLE_DEVICES挂载

通过如下命令创建docker容器时指定挂载0、1、2、3号卡：

docker run -itd--cap-add=SYS_PTRACE --net=host \
--shm-size="32g" \
-e ASCEND_VISIBLE_DEVICES=0-3 \
--name test0 \
swr.cn-southwest-2.myhuaweicloud.com/devserver/pytorch_llama2_13b:0.1.0  \
/bin/bash

3.2 通过--device挂载

通过如下命令创建docker容器时指定挂载0、1、2、3号卡：

docker run -itd --cap-add=SYS_PTRACE \
   --device=/dev/davinci0 \
   --device=/dev/davinci1 \
   --device=/dev/davinci2 \
   --device=/dev/davinci3 \
   --device=/dev/davinci_manager \
   --device=/dev/devmm_svm \
   --device=/dev/hisi_hdc \
   --shm-size 32g \
   --net=host \
   --name test0 \
   swr.cn-southwest-2.myhuaweicloud.com/devserver/pytorch_llama2_13b:0.1.0 \
   /bin/bash