Историја на проблемот со миграција на складирање докер (docker root)

Пред не повеќе од неколку дена, на еден од серверите беше одлучено да се премести докер складирањето (директориумот каде што докерот ги складира сите датотеки со контејнери и слики) во посебен дел, кој
имаше поголем капацитет. Задачата изгледаше тривијална и не претскажуваше проблеми...

Започнување:

1. Запрете и убијте ги сите контејнери на нашата апликација:

docker-compose down

ако има многу контејнери и тие се во различни состави, можете да го направите ова:

docker rm -f $(docker ps -q)

2. Запрете го докерскиот демон:

systemctl stop docker

3. Преместете го директориумот на саканата локација:

cp -r /var/lib/docker /docker/data/storage

4. Му кажуваме на докерскиот демон да погледне во новиот директориум. Има неколку опции: или користете го знамето -g за да го насочите демонот на нова патека, или системски конфигурации што ги користевме. Или симболична врска. Нема да навлегувам во многу детали за ова, тоа е на Интернет. полн прирачници за преместување на docker root на нова локација.

5. Стартувајте го докерскиот демон и проверете дали изгледа на вистинското место:

systemctl status docker

Во една од излезните линии треба да видиме:

├─19493 /usr/bin/dockerd --data-root=/docker/data/storage

Се уверивме дека опцијата е предадена на демонот, сега да провериме дали ја применил (благодарам inkvizitor68sl)!

docker info | awk '/Root Dir/ {print $NF}' 

6. Да ја започнеме нашата апликација:

docker-compose up -d

7. Проверка

И тука започнува забавата, DBMS, MQ, сè е во ред! Базата е недопрена, се работи... освен nginx. Имаме сопствена nginx build со Kerberos и куртизани. И гледањето на дневниците на контејнерот покажа дека не може да пишува на /var/tmp - Дозволата е одбиена. Ги месам слепоочниците со прстите и се обидувам да ја анализирам ситуацијата... Како е ова можно? Сликата на Докер не се промени. Само што го преместивме директориумот. Секогаш работеше, а еве го за вас... Заради експеримент, влегов во контејнерот со моите раце и ги сменив правата на овој директориум, имаше корен, корен 755, даде корен, корен 777. И сè започна... Во мојата глава почна да ми звучи мисла - некаква глупост... Помислив, добро, можеби нешто не земав предвид...

Решив дека се заљубивме во правата за пристап до датотеките за време на преносот. Ја запревме апликацијата, докерскиот демон, го избришавме новиот директориум и го копиравме директориумот /var/lib/docker користејќи rsync -a.

Мислам дека сè е во ред сега, ајде да ја подигнеме апликацијата Docker.

Аааа... проблемот остана... Око ми се грчеше. Побрзав до конзолата на мојата виртуелна машина, каде што извршувам разни тестови, ја имав оваа слика nginx и се качив во контејнерот и тука правата на директориумот /var/tmp се root, root 777. Тоа е, исто како што морав да поставам рачно. Но, сликите се идентични!

Датотечниот систем xfs се користеше насекаде.

Споредив со помош на командата

docker inspect my-nginx:12345

Сите хаши се идентични, сите еден до еден. И на серверот и на мојата виртуелна машина. Ја избришав локалната слика на nginx и повторно ја повлеков од регистарот, кој поради повеќе причини е на истата машина. И проблемот е ист... Сега ми се грчи второто око.

Веќе не се сеќавам какви мисли ми се вртеа во главата, покрај тоа што извикував „ААААААААА“ и други работи. Беше 4 часот наутро, а изворниот код на Docker беше искористен за да се разбере принципот на хеширање на слоевите на сликите. Ја отвори третата лименка енергетски пијалок. И на крајот ми текна дека хаширањето ја зема предвид само датотеката, нејзината содржина, но НЕ ПРАВА ПРИСТАП! Односно, на некој мистериозен начин нашите права се изгубени, selinux е оневозможен, acl не се користи и нема леплив бит.

Ја избришав локалната слика, ја избришав и сликата од докер-регистарот и повторно ја турнав. И сè функционираше. Излегува дека при преносот правата биле изгубени, и внатре во локалната слика и внатре во сликата што лежи во регистарот. Како што веќе реков, од повеќе причини се наоѓаше на истиот автомобил. И како резултат на тоа, во еден директориум /var/lib/docker.

И очекувајќи го прашањето дали се обидоа да го вратат погледот на докерот во стариот директориум - не, тие не се обидоа, за жал, околностите не го дозволија тоа. Да, и навистина сакав да го сфатам тоа.

По пишувањето на овој напис, решението на проблемот ми изгледа очигледно, но во времето на анализата не изгледаше така. Искрено, гуглав и не најдов слични ситуации.

Резултат: Го решив проблемот, сè уште не ја разбирам причината =(

Ако некој знае, претпоставува, имал визија за можните причини за овој проблем, ќе ми биде исклучително мило да слушнам од вас во коментарите!

Извор: www.habr.com