🥇 कंटेनरमध्ये सिस्टम चालवणे

आम्ही बर्‍याच काळापासून कंटेनरमध्ये systemd वापरण्याच्या विषयाचे अनुसरण करत आहोत. 2014 मध्ये, आमचे सुरक्षा अभियंता डॅनियल वॉल्श यांनी एक लेख लिहिला होता डॉकर कंटेनरमध्ये सिस्टीम चालवणे, आणि काही वर्षांनंतर - दुसरे, ज्याला म्हणतात विशेषाधिकार नसलेल्या कंटेनरमध्ये सिस्टम चालत आहे, ज्यामध्ये त्यांनी सांगितले की परिस्थिती फारशी सुधारली नाही. विशेषतः, त्यांनी लिहिले की "दुर्दैवाने, दोन वर्षांनंतरही, जर तुम्ही "डॉकर सिस्टम" गुगल केले तर पहिली गोष्ट समोर येते ती म्हणजे त्याचा तोच जुना लेख. त्यामुळे काहीतरी बदलण्याची वेळ आली आहे.” याव्यतिरिक्त, आम्ही आधीच याबद्दल बोललो आहोत डॉकर आणि सिस्टमड डेव्हलपर्समधील संघर्ष.

या लेखात आम्ही कालांतराने काय बदलले आहे आणि पॉडमॅन या प्रकरणात आम्हाला कशी मदत करू शकतो हे दर्शवू.

कंटेनरमध्ये systemd चालवण्याची अनेक कारणे आहेत, जसे की:

मल्टी सर्व्हिस कंटेनर - बर्‍याच लोकांना त्यांचे मल्टी-सर्व्हिस ऍप्लिकेशन आभासी मशीनमधून बाहेर काढायचे आहेत आणि कंटेनरमध्ये चालवायचे आहेत. नक्कीच, अशा अनुप्रयोगांना मायक्रोसर्व्हिसेसमध्ये मोडणे चांगले होईल, परंतु हे कसे करायचे हे सर्वांनाच माहित नाही किंवा फक्त वेळ नाही. म्हणून, युनिट फायलींमधून systemd द्वारे लाँच केलेल्या सेवांसारखे असे अनुप्रयोग चालवणे योग्य आहे.
सिस्टमड युनिट फाइल्स - कंटेनरच्या आत चालणारे बहुतेक अनुप्रयोग पूर्वी आभासी किंवा भौतिक मशीनवर चालत असलेल्या कोडवरून तयार केले जातात. या अॅप्लिकेशन्समध्ये एक युनिट फाइल असते जी या अॅप्लिकेशन्ससाठी लिहिली गेली होती आणि ती कशी लॉन्च करायची हे समजते. त्यामुळे तुमची स्वतःची इनिट सेवा हॅक करण्यापेक्षा समर्थित पद्धती वापरून सेवा सुरू करणे अजून चांगले आहे.
Systemd एक प्रक्रिया व्यवस्थापक आहे. हे सेवा व्यवस्थापन (बंद करणे, सेवा पुन्हा सुरू करणे, किंवा झोम्बी प्रक्रिया नष्ट करणे) इतर कोणत्याही साधनापेक्षा चांगले हाताळते.

ते म्हणाले, कंटेनरमध्ये सिस्टम न चालवण्याची अनेक कारणे आहेत. मुख्य म्हणजे systemd/journald कंटेनरचे आऊटपुट आणि यासारख्या साधनांचे नियंत्रण करते कुबेरनेट्स किंवा ओपनशिफ्ट कंटेनरने थेट stdout आणि stderr वर लॉग लिहिण्याची अपेक्षा करा. म्हणून, जर तुम्ही वर नमूद केलेल्या ऑर्केस्ट्रेशन साधनांद्वारे कंटेनर व्यवस्थापित करणार असाल, तर तुम्ही सिस्टम-आधारित कंटेनर वापरण्याचा गंभीरपणे विचार केला पाहिजे. याव्यतिरिक्त, डॉकर आणि मोबी डेव्हलपर अनेकदा कंटेनरमध्ये systemd वापरण्यास तीव्र विरोध करतात.

द कमिंग ऑफ पॉडमॅन

आम्हाला कळवण्यात आनंद होत आहे की परिस्थिती अखेरीस पुढे सरकली आहे. रेड हॅट येथे कंटेनर चालविण्यास जबाबदार असलेल्या टीमने विकसित करण्याचे ठरविले तुमचे स्वतःचे कंटेनर इंजिन. त्याला नाव मिळाले पोडमॅन आणि डॉकर सारखा कमांड लाइन इंटरफेस (CLI) ऑफर करतो. आणि जवळजवळ सर्व डॉकर कमांड्स पॉडमॅनमध्ये त्याच प्रकारे वापरल्या जाऊ शकतात. आम्ही अनेकदा सेमिनार आयोजित करतो, ज्याला आता म्हणतात डॉकर पॉडमॅनमध्ये बदलत आहे, आणि अगदी पहिली स्लाइड लिहिण्यासाठी कॉल करते: उर्फ डॉकर = पॉडमॅन.

बरेच लोक हे करतात.

माझा पॉडमॅन आणि मी कोणत्याही प्रकारे सिस्टम-आधारित कंटेनरच्या विरोधात नाही. शेवटी, Systemd ही सर्वात सामान्यतः वापरली जाणारी Linux init उपप्रणाली आहे, आणि कंटेनरमध्ये योग्यरित्या कार्य करू न देणे म्हणजे हजारो लोकांना कंटेनर चालवण्याची सवय कशी आहे याकडे दुर्लक्ष करणे.

पॉडमॅनला कंटेनरमध्ये सिस्टमड योग्यरित्या कार्य करण्यासाठी काय करावे हे माहित आहे. त्याला /run आणि /tmp वर tmpfs माउंट करणे यासारख्या गोष्टींची आवश्यकता आहे. तिला "कंटेनराइज्ड" वातावरण सक्षम करणे आवडते आणि cgroup निर्देशिकेच्या तिच्या भागासाठी आणि /var/log/journald फोल्डरमध्ये लेखन परवानगी अपेक्षित आहे.

जेव्हा तुम्ही कंटेनर सुरू करता ज्यामध्ये पहिली कमांड init किंवा systemd असते, Podman आपोआप tmpfs आणि Cgroups कॉन्फिगर करते जेणेकरून systemd समस्यांशिवाय सुरू होईल. हा ऑटो लॉन्च मोड ब्लॉक करण्यासाठी, --systemd=false पर्याय वापरा. कृपया लक्षात घ्या की पॉडमॅनला systemd किंवा init कमांड चालवायची गरज आहे असे दिसते तेव्हाच systemd मोड वापरतो.

मॅन्युअलमधील एक उतारा येथे आहे:

मनुष्य podman धाव
...

–systemd=true|false

सिस्टीम मोडमध्ये कंटेनर चालवित आहे. डीफॉल्टनुसार सक्षम.

तुम्ही कंटेनरमध्ये systemd किंवा init कमांड चालवल्यास, Podman खालील डिरेक्टरीमध्ये tmpfs माउंट पॉइंट कॉन्फिगर करेल:

/रन, /रन/लॉक, /tmp, /sys/fs/cgroup/systemd, /var/lib/journal

तसेच डीफॉल्ट स्टॉप सिग्नल SIGRTMIN+3 असेल.

हे सर्व systemd ला कोणत्याही बदलाशिवाय बंद कंटेनरमध्ये चालवण्यास अनुमती देते.

टीप: systemd cgroup फाइलप्रणालीवर लिहिण्याचा प्रयत्न करतो. तरी, SELinux कंटेनर्सना मुलभूतरित्या असे करण्यापासून प्रतिबंधित करते. लेखन सक्षम करण्यासाठी कंटेनर_मॅनेज_सीग्रुप बुलियन पॅरामीटर सक्षम करा:

setsebool -P कंटेनर_मॅनेज_सीग्रुप खरे आहे

आता पॉडमॅन वापरून कंटेनरमध्ये सिस्टमड चालविण्यासाठी डॉकरफाइल कशी दिसते ते पहा:

# cat Dockerfile

FROM fedora

RUN dnf -y install httpd; dnf clean all; systemctl enable httpd

EXPOSE 80

CMD [ "/sbin/init" ]

एवढेच.

आता आम्ही कंटेनर एकत्र करतो:

# podman build -t systemd .

आम्ही SELinux ला systemd ला Cgroups कॉन्फिगरेशन सुधारण्याची परवानगी देण्यास सांगतो:

# setsebool -P container_manage_cgroup true

बरेच लोक, तसे, या चरणाबद्दल विसरतात. सुदैवाने, हे फक्त एकदाच करणे आवश्यक आहे आणि सिस्टम रीबूट केल्यानंतर सेटिंग जतन केली जाते.

आता आम्ही फक्त कंटेनर सुरू करतो:

# podman run -ti -p 80:80 systemd

systemd 239 running in system mode. (+PAM +AUDIT +SELINUX +IMA -APPARMOR +SMACK +SYSVINIT +UTMP +LIBCRYPTSETUP +GCRYPT +GNUTLS +ACL +XZ +LZ4 +SECCOMP +BLKID +ELFUTILS +KMOD +IDN2 -IDN +PCRE2 default-hierarchy=hybrid)

Detected virtualization container-other.

Detected architecture x86-64.

Welcome to Fedora 29 (Container Image)!

Set hostname to <1b51b684bc99>.

Failed to install release agent, ignoring: Read-only file system

File /usr/lib/systemd/system/systemd-journald.service:26 configures an IP firewall (IPAddressDeny=any), but the local system does not support BPF/cgroup based firewalling.

Proceeding WITHOUT firewalling in effect! (This warning is only shown for the first loaded unit using IP firewalling.)

[  OK ] Listening on initctl Compatibility Named Pipe.

[  OK ] Listening on Journal Socket (/dev/log).

[  OK ] Started Forward Password Requests to Wall Directory Watch.

[  OK ] Started Dispatch Password Requests to Console Directory Watch.

[  OK ] Reached target Slices.

…

[  OK ] Started The Apache HTTP Server.

तेच, सेवा चालू आहे आणि चालू आहे:

$ curl localhost

<html  xml_lang="en" lang="en">

…

</html>

टीप: डॉकरवर हे वापरून पाहू नका! डिमनद्वारे या प्रकारचे कंटेनर लाँच करण्यासाठी आपल्याला अद्याप डफसह नाचण्याची आवश्यकता आहे. (डॉकरमध्ये हे सर्व अखंडपणे कार्य करण्यासाठी अतिरिक्त फील्ड आणि पॅकेजेसची आवश्यकता असेल किंवा ते विशेषाधिकार असलेल्या कंटेनरमध्ये चालवावे लागेल. तपशीलांसाठी, पहा लेख.)

Podman आणि systemd बद्दल आणखी काही छान गोष्टी

पॉडमॅन सिस्टमड युनिट फायलींमध्ये डॉकरपेक्षा चांगले कार्य करते

सिस्टम बूट झाल्यावर कंटेनर सुरू करणे आवश्यक असल्यास, तुम्ही सिस्टमड युनिट फाइलमध्ये योग्य पॉडमॅन कमांड टाकू शकता, जे सेवा सुरू करेल आणि त्याचे निरीक्षण करेल. पॉडमॅन मानक फोर्क-एक्सेक मॉडेल वापरतो. दुसऱ्या शब्दांत, कंटेनर प्रक्रिया पॉडमॅन प्रक्रियेची मुले आहेत, त्यामुळे systemd त्यांचे सहज निरीक्षण करू शकते.

डॉकर क्लायंट-सर्व्हर मॉडेल वापरतो आणि डॉकर सीएलआय कमांड थेट युनिट फाइलमध्ये ठेवता येतात. तथापि, एकदा डॉकर क्लायंट डॉकर डिमनशी जोडला की, तो (क्लायंट) stdin आणि stdout हाताळणारी दुसरी प्रक्रिया बनते. या बदल्यात, systemd ला डॉकर क्लायंट आणि डॉकर डिमनच्या नियंत्रणाखाली चालणारे कंटेनर यांच्यातील कनेक्शनबद्दल कोणतीही कल्पना नाही, आणि म्हणून, या मॉडेलमध्ये, systemd मूलभूतपणे सेवेचे निरीक्षण करू शकत नाही.

सॉकेटद्वारे systemd सक्रिय करत आहे

पॉडमॅन सॉकेटद्वारे सक्रियकरण योग्यरित्या हाताळतो. पॉडमॅन फोर्क-एक्सेक मॉडेल वापरत असल्यामुळे, ते सॉकेटला त्याच्या चाइल्ड कंटेनर प्रक्रियेत अग्रेषित करू शकते. डॉकर हे करू शकत नाही कारण ते क्लायंट-सर्व्हर मॉडेल वापरते.

पॉडमॅन रिमोट क्लायंटशी कंटेनर्सशी संवाद साधण्यासाठी वापरत असलेली varlink सेवा प्रत्यक्षात सॉकेटद्वारे सक्रिय केली जाते. Cockpit-podman पॅकेज, Node.js मध्ये लिहिलेले आणि कॉकपिट प्रकल्पाचा भाग, लोकांना वेब इंटरफेसद्वारे पॉडमॅन कंटेनरशी संवाद साधण्याची परवानगी देते. कॉकपिट-पॉडमॅनवर चालणारा वेब डिमन वरलिंक सॉकेटवर संदेश पाठवतो ज्यावर सिस्टम ऐकतो. Systemd नंतर संदेश प्राप्त करण्यासाठी आणि कंटेनर व्यवस्थापित करण्यासाठी पॉडमॅन प्रोग्राम सक्रिय करते. सॉकेटवर systemd सक्रिय केल्याने रिमोट API ची अंमलबजावणी करताना सतत चालू असलेल्या डिमनची गरज नाहीशी होते.

याव्यतिरिक्त, आम्ही पॉडमॅन-रिमोट नावाचा दुसरा पॉडमॅन क्लायंट विकसित करत आहोत, जो समान पॉडमॅन CLI लागू करतो परंतु कंटेनर चालविण्यासाठी varlink कॉल करतो. पॉडमॅन-रिमोट SSH सत्रांच्या शीर्षस्थानी चालू शकते, ज्यामुळे तुम्हाला वेगवेगळ्या मशीनवरील कंटेनरशी सुरक्षितपणे संवाद साधता येईल. कालांतराने, आम्ही Linux सोबत MacOS आणि Windows ला समर्थन देण्यासाठी पॉडमॅन-रिमोट सक्षम करण्याची योजना आखत आहोत, जेणेकरुन त्या प्लॅटफॉर्मवरील विकासक पॉडमॅन वरलिंक चालू असलेले Linux व्हर्च्युअल मशीन चालवू शकतील आणि कंटेनर स्थानिक मशीनवर चालत असल्याचा पूर्ण अनुभव घ्या.

SD_NOTIFY

Systemd तुम्हाला सहाय्यक सेवा सुरू करण्यास त्यांना आवश्यक असलेली कंटेनर सेवा सुरू होईपर्यंत पुढे ढकलण्याची परवानगी देते. पॉडमॅन SD_NOTIFY सॉकेट कंटेनरीकृत सेवेकडे अग्रेषित करू शकतो जेणेकरुन सेवा सिस्टमला सूचित करेल की ते ऑपरेट करण्यासाठी तयार आहे. आणि पुन्हा, डॉकर, जो क्लायंट-सर्व्हर मॉडेल वापरतो, हे करू शकत नाही.

योजनांमध्ये

आम्ही podman generate systemd CONTAINERID कमांड जोडण्याची योजना आखत आहोत, जी निर्दिष्ट केलेल्या विशिष्ट कंटेनरचे व्यवस्थापन करण्यासाठी एक systemd युनिट फाइल तयार करेल. हे विशेषाधिकार नसलेल्या कंटेनरसाठी रूट आणि रूटलेस मोडमध्ये कार्य केले पाहिजे. आम्ही OCI-सुसंगत systemd-nspawn रनटाइमसाठी विनंती देखील पाहिली आहे.

निष्कर्ष

कंटेनरमध्ये सिस्टम चालवणे ही समजण्यासारखी गरज आहे. आणि पॉडमॅनचे आभार, आमच्याकडे शेवटी कंटेनर रनटाइम आहे जो systemd शी विरोधाभास करत नाही, परंतु वापरण्यास सुलभ करतो.

स्त्रोत: www.habr.com

कंटेनरमध्ये सिस्टीम चालवणे