🥇 একটি পাত্রে সিস্টেমড চালানো

আমরা দীর্ঘদিন ধরে পাত্রে সিস্টেমড ব্যবহার করার বিষয়টি অনুসরণ করছি। 2014 সালে, আমাদের নিরাপত্তা প্রকৌশলী ড্যানিয়েল ওয়ালশ একটি নিবন্ধ লিখেছিলেন একটি ডকার কন্টেইনারের মধ্যে সিস্টেমড চলছে, এবং কয়েক বছর পরে - আরেকটি, যা বলা হয়েছিল একটি নন-প্রিভিলেজড কন্টেইনারে সিস্টেমড চলছে, যেখানে তিনি বলেছিলেন যে পরিস্থিতির খুব বেশি উন্নতি হয়নি। বিশেষ করে, তিনি লিখেছেন যে "দুর্ভাগ্যবশত, এমনকি দুই বছর পরে, আপনি যদি "ডকার সিস্টেম" গুগল করেন, প্রথম যে জিনিসটি আসে তা হল তার একই পুরানো নিবন্ধ। তাই সময় এসেছে কিছু পরিবর্তন করার।” উপরন্তু, আমরা ইতিমধ্যে সম্পর্কে কথা বলা হয়েছে ডকার এবং সিস্টেমড বিকাশকারীদের মধ্যে দ্বন্দ্ব.

এই নিবন্ধে আমরা দেখাব যে সময়ের সাথে কী পরিবর্তন হয়েছে এবং কীভাবে পডম্যান এই বিষয়ে আমাদের সাহায্য করতে পারে।

একটি পাত্রে সিস্টেমড চালানোর অনেক কারণ রয়েছে, যেমন:

মাল্টি সার্ভিস পাত্রে - অনেক লোক তাদের মাল্টি-সার্ভিস অ্যাপ্লিকেশনগুলিকে ভার্চুয়াল মেশিন থেকে বের করে পাত্রে চালাতে চায়। অবশ্যই, এই জাতীয় অ্যাপ্লিকেশনগুলিকে মাইক্রোসার্ভিসে ভাঙ্গাতে আরও ভাল হবে, তবে সবাই এখনও জানেন না কীভাবে এটি করতে হয় বা কেবল সময় নেই। অতএব, ইউনিট ফাইল থেকে systemd দ্বারা চালু করা পরিষেবাগুলির মতো অ্যাপ্লিকেশনগুলি চালানো নিখুঁত অর্থপূর্ণ।
সিস্টেমড ইউনিট ফাইল – কন্টেইনারের ভিতরে চলমান বেশিরভাগ অ্যাপ্লিকেশনগুলি এমন কোড থেকে তৈরি করা হয় যা আগে ভার্চুয়াল বা ফিজিক্যাল মেশিনে চলত। এই অ্যাপ্লিকেশনগুলির একটি ইউনিট ফাইল রয়েছে যা এই অ্যাপ্লিকেশনগুলির জন্য লেখা হয়েছিল এবং সেগুলি কীভাবে চালু করা উচিত তা বোঝে৷ তাই আপনার নিজের init পরিষেবা হ্যাক করার পরিবর্তে সমর্থিত পদ্ধতিগুলি ব্যবহার করে পরিষেবাগুলি শুরু করা এখনও ভাল।
সিস্টেমড একটি প্রসেস ম্যানেজার। এটি পরিষেবাগুলি পরিচালনা করে (শাট ডাউন, পরিষেবাগুলি পুনরায় চালু করে বা জম্বি প্রক্রিয়াগুলিকে হত্যা করে) অন্য যে কোনও সরঞ্জামের চেয়ে ভাল।

এটি বলেছে, পাত্রে সিস্টেমড না চালানোর অনেক কারণ রয়েছে। প্রধান একটি হল যে systemd/journald কন্টেইনারগুলির আউটপুট নিয়ন্ত্রণ করে এবং এর মতো সরঞ্জামগুলি Kubernetes বা ওপেনশিফ্ট কন্টেইনারগুলি stdout এবং stderr-এ সরাসরি লগ লেখার আশা করে। অতএব, আপনি যদি উপরে উল্লিখিতগুলির মতো অর্কেস্ট্রেশন সরঞ্জামগুলির মাধ্যমে কন্টেইনারগুলি পরিচালনা করতে যাচ্ছেন, তাহলে আপনার সিস্টেমড-ভিত্তিক কন্টেইনারগুলি ব্যবহার করার বিষয়ে গুরুত্ব সহকারে বিবেচনা করা উচিত। অতিরিক্তভাবে, ডকার এবং মবি ডেভেলপাররা প্রায়শই পাত্রে সিস্টেমড ব্যবহার করার তীব্র বিরোধিতা করে।

দ্য কামিং অফ পডম্যান

আমরা জানাতে পেরে খুশি যে পরিস্থিতি শেষ পর্যন্ত এগিয়ে গেছে। রেড হ্যাটে কন্টেইনার চালানোর জন্য দায়ী দলটি বিকাশ করার সিদ্ধান্ত নিয়েছে আপনার নিজস্ব ধারক ইঞ্জিন. তিনি একটি নাম পেয়েছেন পোডম্যান এবং ডকার হিসাবে একই কমান্ড লাইন ইন্টারফেস (CLI) অফার করে। এবং প্রায় সব ডকার কমান্ড একইভাবে পডম্যানে ব্যবহার করা যেতে পারে। আমরা প্রায়ই সেমিনার পরিচালনা করি, যা এখন বলা হয় ডকারকে পডম্যানে পরিবর্তন করা হচ্ছে, এবং প্রথম স্লাইডে লেখার জন্য আহ্বান করা হয়েছে: ওরফে ডকার=পডম্যান।

অনেকে এটা করে।

আমার পডম্যান এবং আমি কোনোভাবেই সিস্টেমড-ভিত্তিক পাত্রের বিরুদ্ধে নই। সর্বোপরি, Systemd হল সর্বাধিক ব্যবহৃত Linux init সাবসিস্টেম, এবং এটিকে কন্টেইনারে সঠিকভাবে কাজ করতে না দেওয়ার অর্থ হল কিভাবে হাজার হাজার মানুষ কন্টেইনার চালাতে অভ্যস্ত তা উপেক্ষা করা।

পডম্যান জানে যে একটি পাত্রে সিস্টেমড সঠিকভাবে কাজ করতে কী করতে হবে। এটির জন্য /run এবং /tmp এ মাউন্ট করা tmpfs এর মতো জিনিসগুলির প্রয়োজন। তিনি "কন্টেইনারাইজড" পরিবেশ সক্রিয় রাখতে পছন্দ করেন এবং cgroup ডিরেক্টরির অংশে এবং /var/log/journald ফোল্ডারে লেখার অনুমতি আশা করেন।

আপনি যখন একটি কন্টেইনার শুরু করেন যেখানে প্রথম কমান্ডটি init বা systemd হয়, তখন Podman স্বয়ংক্রিয়ভাবে tmpfs এবং Cgroups কনফিগার করে যাতে systemd কোনো সমস্যা ছাড়াই শুরু হয়। এই স্বয়ংক্রিয় লঞ্চ মোড ব্লক করতে, --systemd=false বিকল্পটি ব্যবহার করুন। অনুগ্রহ করে মনে রাখবেন যে Podman শুধুমাত্র systemd মোড ব্যবহার করে যখন এটি একটি systemd বা init কমান্ড চালানোর প্রয়োজন দেখে।

এখানে ম্যানুয়াল থেকে একটি উদ্ধৃতি আছে:

মানুষ পডম্যান রান
...

-systemd=true|false

সিস্টেমড মোডে একটি ধারক চালানো হচ্ছে। ডিফল্টরূপে সক্রিয়.

আপনি যদি একটি কন্টেইনারের ভিতরে একটি systemd বা init কমান্ড চালান, তাহলে Podman নিম্নলিখিত ডিরেক্টরিতে tmpfs মাউন্ট পয়েন্ট কনফিগার করবে:

/রান, /রান/লক, /tmp, /sys/fs/cgroup/systemd, /var/lib/journal

এছাড়াও ডিফল্ট স্টপ সিগন্যাল হবে SIGRTMIN+3।

এই সমস্ত কিছুই কোনো পরিবর্তন ছাড়াই systemd-কে একটি বন্ধ পাত্রে চালানোর অনুমতি দেয়।

উল্লেখ্য: systemd cgroup ফাইল সিস্টেমে লেখার চেষ্টা করে। যাইহোক, SELinux ডিফল্টরূপে কন্টেইনারকে এটি করতে বাধা দেয়। লেখা সক্ষম করতে, container_manage_cgroup বুলিয়ান প্যারামিটার সক্ষম করুন:

setsebool -P container_manage_cgroup সত্য

এখন পডম্যান ব্যবহার করে একটি পাত্রে সিস্টেমড চালানোর জন্য ডকারফাইলটি কেমন দেখায় তা দেখুন:

# cat Dockerfile

FROM fedora

RUN dnf -y install httpd; dnf clean all; systemctl enable httpd

EXPOSE 80

CMD [ "/sbin/init" ]

এখানেই শেষ.

এখন আমরা ধারক একত্রিত করি:

# podman build -t systemd .

আমরা SELinux কে বলি systemd কে Cgroups কনফিগারেশন পরিবর্তন করার অনুমতি দিতে:

# setsebool -P container_manage_cgroup true

উপায় দ্বারা, অনেক মানুষ এই পদক্ষেপ সম্পর্কে ভুলে যান। সৌভাগ্যবশত, এটি শুধুমাত্র একবার করা প্রয়োজন এবং সিস্টেম রিবুট করার পরে সেটিংস সংরক্ষণ করা হয়।

এখন আমরা শুধু ধারক শুরু করি:

# podman run -ti -p 80:80 systemd

systemd 239 running in system mode. (+PAM +AUDIT +SELINUX +IMA -APPARMOR +SMACK +SYSVINIT +UTMP +LIBCRYPTSETUP +GCRYPT +GNUTLS +ACL +XZ +LZ4 +SECCOMP +BLKID +ELFUTILS +KMOD +IDN2 -IDN +PCRE2 default-hierarchy=hybrid)

Detected virtualization container-other.

Detected architecture x86-64.

Welcome to Fedora 29 (Container Image)!

Set hostname to <1b51b684bc99>.

Failed to install release agent, ignoring: Read-only file system

File /usr/lib/systemd/system/systemd-journald.service:26 configures an IP firewall (IPAddressDeny=any), but the local system does not support BPF/cgroup based firewalling.

Proceeding WITHOUT firewalling in effect! (This warning is only shown for the first loaded unit using IP firewalling.)

[  OK ] Listening on initctl Compatibility Named Pipe.

[  OK ] Listening on Journal Socket (/dev/log).

[  OK ] Started Forward Password Requests to Wall Directory Watch.

[  OK ] Started Dispatch Password Requests to Console Directory Watch.

[  OK ] Reached target Slices.

…

[  OK ] Started The Apache HTTP Server.

এটিই, পরিষেবা চালু এবং চলছে:

$ curl localhost

<html  xml_lang="en" lang="en">

…

</html>

দ্রষ্টব্য: ডকারে এটি চেষ্টা করবেন না! ডেমনের মাধ্যমে এই ধরণের পাত্রে চালু করার জন্য আপনাকে এখনও একটি খঞ্জনী নিয়ে নাচতে হবে। (অতিরিক্ত ক্ষেত্র এবং প্যাকেজগুলির প্রয়োজন হবে এই সমস্ত ডকারে নির্বিঘ্নে কাজ করার জন্য, অথবা এটি একটি বিশেষ সুবিধাপ্রাপ্ত পাত্রে চালানোর প্রয়োজন হবে। বিস্তারিত জানার জন্য, দেখুন প্রবন্ধ.)

পডম্যান এবং সিস্টেমড সম্পর্কে আরও কয়েকটি দুর্দান্ত জিনিস

পডম্যান সিস্টেমড ইউনিট ফাইলগুলিতে ডকারের চেয়ে ভাল কাজ করে

সিস্টেম বুট হওয়ার সময় যদি কন্টেইনারগুলি শুরু করার প্রয়োজন হয়, তাহলে আপনি কেবল সিস্টেমড ইউনিট ফাইলে উপযুক্ত পডম্যান কমান্ডগুলি সন্নিবেশ করতে পারেন, যা পরিষেবা শুরু করবে এবং এটি নিরীক্ষণ করবে। পডম্যান স্ট্যান্ডার্ড ফর্ক-এক্সেক মডেল ব্যবহার করে। অন্য কথায়, কন্টেইনার প্রক্রিয়াগুলি পডম্যান প্রক্রিয়ার সন্তান, তাই সিস্টেমড সহজেই তাদের নিরীক্ষণ করতে পারে।

ডকার একটি ক্লায়েন্ট-সার্ভার মডেল ব্যবহার করে এবং ডকার সিএলআই কমান্ডগুলি সরাসরি একটি ইউনিট ফাইলে স্থাপন করা যেতে পারে। যাইহোক, একবার ডকার ক্লায়েন্ট ডকার ডেমনের সাথে সংযোগ স্থাপন করলে, এটি (ক্লায়েন্ট) শুধুমাত্র আরেকটি প্রক্রিয়া প্রক্রিয়াকরণ stdin এবং stdout হয়ে যায়। পরিবর্তে, সিস্টেমডের ডকার ক্লায়েন্ট এবং ডকার ডেমনের নিয়ন্ত্রণে চলা কন্টেইনারের মধ্যে সংযোগ সম্পর্কে কোন ধারণা নেই, এবং তাই, এই মডেলের মধ্যে, systemd মৌলিকভাবে পরিষেবাটি নিরীক্ষণ করতে পারে না।

সকেটের মাধ্যমে systemd সক্রিয় করা হচ্ছে

পডম্যান সঠিকভাবে সকেটের মাধ্যমে সক্রিয়করণ পরিচালনা করে। যেহেতু পডম্যান ফর্ক-এক্সেক মডেল ব্যবহার করে, এটি সকেটটিকে তার চাইল্ড কন্টেইনার প্রক্রিয়াগুলিতে ফরোয়ার্ড করতে পারে। ডকার এটি করতে পারে না কারণ এটি একটি ক্লায়েন্ট-সার্ভার মডেল ব্যবহার করে।

ভারলিংক পরিষেবা যা পডম্যান দূরবর্তী ক্লায়েন্টদের সাথে কনটেইনারে যোগাযোগ করতে ব্যবহার করে তা আসলে একটি সকেটের মাধ্যমে সক্রিয় করা হয়। ককপিট-পডম্যান প্যাকেজ, Node.js এ লেখা এবং ককপিট প্রকল্পের অংশ, লোকেদের একটি ওয়েব ইন্টারফেসের মাধ্যমে পডম্যান কন্টেইনারগুলির সাথে যোগাযোগ করতে দেয়। ককপিট-পডম্যান চলমান ওয়েব ডেমন একটি ভার্লিংক সকেটে বার্তা পাঠায় যা সিস্টেমড শোনে। সিস্টেমড তারপর বার্তা গ্রহণ করতে এবং কন্টেইনার পরিচালনা শুরু করতে পডম্যান প্রোগ্রাম সক্রিয় করে। একটি সকেটে systemd সক্রিয় করার ফলে দূরবর্তী API প্রয়োগ করার সময় ক্রমাগত চলমান ডেমনের প্রয়োজনীয়তা দূর হয়।

উপরন্তু, আমরা পডম্যান-রিমোট নামে আরেকটি পডম্যান ক্লায়েন্ট তৈরি করছি, যা একই পডম্যান সিএলআই প্রয়োগ করে কিন্তু কন্টেইনার চালানোর জন্য ভারলিঙ্ককে কল করে। পডম্যান-রিমোট SSH সেশনের উপরে চলতে পারে, যা আপনাকে বিভিন্ন মেশিনে পাত্রে নিরাপদে ইন্টারঅ্যাক্ট করতে দেয়। সময়ের সাথে সাথে, আমরা Linux-এর পাশাপাশি MacOS এবং Windows সমর্থন করার জন্য পডম্যান-রিমোট সক্ষম করার পরিকল্পনা করেছি, যাতে সেই প্ল্যাটফর্মগুলিতে বিকাশকারীরা একটি Linux ভার্চুয়াল মেশিন চালাতে পারে যাতে Podman varlink চলছে এবং সম্পূর্ণ অভিজ্ঞতা থাকতে পারে যে কন্টেইনারগুলি স্থানীয় মেশিনে চলছে৷

SD_NOTIFY

সিস্টেমড আপনাকে সাহায্যকারী পরিষেবার প্রবর্তন পিছিয়ে দেওয়ার অনুমতি দেয় যতক্ষণ না তাদের প্রয়োজনীয় কন্টেইনারাইজড পরিষেবা শুরু হয়। পডম্যান SD_NOTIFY সকেটটিকে কনটেইনারাইজড পরিষেবাতে ফরোয়ার্ড করতে পারে যাতে পরিষেবাটি সিস্টেমকে জানিয়ে দেয় যে এটি কাজ করার জন্য প্রস্তুত। এবং আবার, ডকার, যা একটি ক্লায়েন্ট-সার্ভার মডেল ব্যবহার করে, এটি করতে পারে না।

পরিকল্পনায়

আমরা podman generate systemd CONTAINERID কমান্ড যোগ করার পরিকল্পনা করছি, যা নির্দিষ্ট একটি নির্দিষ্ট ধারক পরিচালনা করতে একটি systemd ইউনিট ফাইল তৈরি করবে। এটি সুবিধাহীন পাত্রের জন্য রুট এবং রুটহীন উভয় মোডে কাজ করা উচিত। এমনকি আমরা একটি OCI-সামঞ্জস্যপূর্ণ systemd-nspawn রানটাইমের জন্য একটি অনুরোধও দেখেছি।

উপসংহার

একটি পাত্রে systemd চালানো একটি বোধগম্য প্রয়োজন। এবং পডম্যানকে ধন্যবাদ, অবশেষে আমাদের কাছে একটি ধারক রানটাইম রয়েছে যা systemd এর সাথে বিরোধিতা করে না, তবে এটি ব্যবহার করা সহজ করে তোলে।

উত্স: www.habr.com

একটি পাত্রে systemd চালান