सीआई वा परीक्षण वातावरणको लागि डकर-इन-डकर प्रयोग गर्नु अघि सावधानीपूर्वक सोच्नुहोस्

डकर-इन-डकर कन्टेनर छविहरू निर्माण गर्न कन्टेनर भित्र चलिरहेको भर्चुअलाइज्ड डकर डेमन वातावरण हो। डकर-इन-डकर सिर्जना गर्नुको मुख्य उद्देश्य डकरलाई विकास गर्न मद्दत गर्नु थियो। धेरै मानिसहरूले Jenkins CI चलाउन यसलाई प्रयोग गर्छन्। यो सुरुमा सामान्य देखिन्छ, तर त्यसपछि समस्याहरू उत्पन्न हुन्छन् जुन जेनकिन्स सीआई कन्टेनरमा डकर स्थापना गरेर जोगिन सकिन्छ। यो लेखले तपाईंलाई यो कसरी गर्ने भनेर बताउँछ। यदि तपाइँ विवरण बिना अन्तिम समाधानमा रुचि राख्नुहुन्छ भने, लेखको अन्तिम खण्ड पढ्नुहोस्, "समस्या समाधान गर्दै।"

डकर-इन-डकर: "राम्रो"

दुई वर्ष भन्दा बढी पहिले मैले डकरमा राखें झण्डा - विशेषाधिकार प्राप्त र लेखे डिन्डको पहिलो संस्करण। लक्ष्य कोर टोलीलाई डकरलाई छिटो विकास गर्न मद्दत गर्नु थियो। डकर-इन-डकर अघि, सामान्य विकास चक्र यस्तो देखिन्थ्यो:

• ह्याकिटी ह्याक;
• निर्माण;
• चलिरहेको डकर डेमन रोक्दै;
• नयाँ डकर डेमन सुरु गर्दै;
• परीक्षण;
• चक्र दोहोर्याउनुहोस्।

यदि तपाइँ एक सुन्दर, पुन: उत्पादन योग्य असेंबली बनाउन चाहानुहुन्छ (अर्थात, कन्टेनरमा), त्यसपछि यो थप जटिल भयो:

• ह्याकिटी ह्याक;
• सुनिश्चित गर्नुहोस् कि डकरको कार्य संस्करण चलिरहेको छ;
• पुरानो डकरको साथ नयाँ डकर निर्माण गर्नुहोस्;
• डकर डेमन रोक्नुहोस्;
• नयाँ डकर डेमन सुरु गर्नुहोस्;
• परीक्षण;
• नयाँ डकर डेमन रोक्नुहोस्;
• दोहोर्याउनुहोस्।

डकर-इन-डकरको आगमनको साथ, प्रक्रिया सरल भएको छ:

• ह्याकिटी ह्याक;
• विधानसभा + एक चरणमा प्रक्षेपण;
• चक्र दोहोर्याउनुहोस्।

यो बाटो धेरै राम्रो छैन?

डकर-इन-डकर: "खराब"

यद्यपि, लोकप्रिय विश्वासको विपरीत, डकर-इन-डकर 100% ताराहरू, पोनीहरू र युनिकर्नहरू होइनन्। मेरो मतलब के हो भने त्यहाँ धेरै मुद्दाहरू छन् जुन विकासकर्तालाई सचेत हुन आवश्यक छ।

ती मध्ये एउटा LSM हरू (Linux सुरक्षा मोड्युलहरू) जस्तै AppArmor र SELinux: कन्टेनर चलाउँदा, "आन्तरिक डकर" ले सुरक्षा प्रोफाइलहरू लागू गर्ने प्रयास गर्न सक्छ जसले "बाह्य डकर" लाई विवादित वा भ्रमित गर्दछ। विशेषाधिकार प्राप्त झण्डाको मूल कार्यान्वयनलाई मर्ज गर्ने प्रयास गर्दा यो समाधान गर्न सबैभन्दा कठिन समस्या हो। मेरो परिवर्तनहरूले काम गर्यो र सबै परीक्षणहरू मेरो डेबियन मेसिन र Ubuntu परीक्षण VM मा पास हुनेछ, तर तिनीहरू क्र्यास हुनेछन् र माइकल क्रस्बीको मेसिनमा जल्नेछन् (मलाई सम्झना अनुसार उनीसँग फेडोरा थियो)। म समस्याको सही कारण सम्झन सक्दिन, तर यो हुन सक्छ किनभने माइक एक बुद्धिमान केटा हो जसले SELINUX=enforce (मैले AppArmor प्रयोग गरेको थिएँ) सँग काम गर्दछ र मेरो परिवर्तनहरूले SELinux प्रोफाइलहरूलाई ध्यानमा राखेन।

डकर-इन-डकर: "ईविल"

दोस्रो मुद्दा डकर भण्डारण ड्राइभरहरूसँग छ। जब तपाइँ डकर-इन-डकर चलाउनुहुन्छ, बाह्य डकर नियमित फाइल प्रणालीको शीर्षमा चल्छ (EXT4, BTRFS, वा तपाइँसँग जे छ) र आन्तरिक डकर प्रतिलिपि-अन-राइट प्रणाली (AUFS, BTRFS, उपकरण म्यापर) को शीर्षमा चल्छ। , आदि) , बाह्य डकर प्रयोग गर्न कन्फिगर गरिएको कुरामा निर्भर गर्दछ)। यसले धेरै संयोजनहरू सिर्जना गर्दछ जुन काम गर्दैन। उदाहरणका लागि, तपाईं AUFS को शीर्षमा AUFS चलाउन सक्षम हुनुहुने छैन।

यदि तपाईंले BTRFS को शीर्षमा BTRFS चलाउनुभयो भने, यसले सुरुमा काम गर्नुपर्छ, तर एक पटक त्यहाँ नेस्टेड सबभोल्युमहरू भएपछि, अभिभावक सबभोल्युम मेटाउन असफल हुनेछ। यन्त्र म्यापर मोड्युलको कुनै नेमस्पेस छैन, त्यसैले यदि धेरै डकर उदाहरणहरूले यसलाई एउटै मेसिनमा चलाउँदैछन् भने, तिनीहरू सबैले एक अर्कामा र कन्टेनर ब्याकअप यन्त्रहरूमा छविहरू हेर्न (र प्रभाव पार्न) सक्षम हुनेछन्। यो खराब छ।

यस्ता धेरै समस्याहरू समाधान गर्ने उपायहरू छन्। उदाहरणका लागि, यदि तपाइँ आन्तरिक डकरमा AUFS प्रयोग गर्न चाहनुहुन्छ भने, केवल /var/lib/docker फोल्डरलाई भोल्युममा बदल्नुहोस् र तपाइँ ठीक हुनुहुनेछ। डकरले यन्त्र म्यापर लक्षित नामहरूमा केही आधार नेमस्पेसहरू थपेको छ ताकि यदि धेरै डकर कलहरू एउटै मेसिनमा चलिरहेका छन् भने, तिनीहरूले एकअर्कामा कदम चाल्दैनन्।

यद्यपि, यस्तो सेटअप सबै सरल छैन, यी बाट देख्न सकिन्छ लेखहरू GitHub मा डिन्ड रिपोजिटरीमा।

डकर-इन-डकर: यो खराब हुन्छ

निर्माण क्यासको बारेमा के हो? यो पनि धेरै गाह्रो हुन सक्छ। मानिसहरूले मलाई प्रायः सोध्छन् "यदि म डकर-इन-डकर चलाउँदै छु भने, मैले मेरो आन्तरिक डकरमा सबै चीजहरू तान्नुको सट्टा मेरो होस्टमा होस्ट गरिएका छविहरू कसरी प्रयोग गर्न सक्छु"?

केही उद्यमी व्यक्तिहरूले /var/lib/docker लाई होस्टबाट डकर-इन-डकर कन्टेनरमा बाँध्न प्रयास गरेका छन्। कहिलेकाहीँ तिनीहरूले /var/lib/docker धेरै कन्टेनरहरूसँग साझेदारी गर्छन्।

के तपाईं आफ्नो डाटा भ्रष्ट गर्न चाहनुहुन्छ? किनभने यो वास्तवमा तपाईको डाटालाई हानि पुर्‍याउँछ!

डकर डेमन स्पष्ट रूपमा /var/lib/docker मा विशेष पहुँचको लागि डिजाइन गरिएको थियो। यस फोल्डरमा अवस्थित कुनै पनि डकर फाइलहरूलाई अरू कुनै पनि कुराले "छोउनु, पोक गर्नु वा उत्पादन" गर्नु हुँदैन।

किन यस्तो हुन्छ ? किनभने यो डटक्लाउड विकास गर्दा सिकेको सबैभन्दा कठिन पाठहरूको परिणाम हो। डटक्लाउड कन्टेनर इन्जिन एकै साथ /var/lib/dotcloud पहुँच गर्ने धेरै प्रक्रियाहरू गरेर चल्यो। धूर्त चालहरू जस्तै परमाणु फाइल प्रतिस्थापन (इन-प्लेस सम्पादनको सट्टा), सल्लाहकार र अनिवार्य लकहरू सहितको पेपरिङ कोड, र SQLite र BDB जस्ता सुरक्षित प्रणालीहरूसँग अन्य प्रयोगहरू सधैं काम गर्दैनन्। जब हामी हाम्रो कन्टेनर इन्जिनलाई पुन: डिजाइन गर्दै थियौं, जुन अन्ततः डकर बन्यो, सबै कन्टेनर अपरेशनहरू एकल डेमन अन्तर्गत सबै कन्टेनर अपरेसनहरूलाई समेकित गर्ने एउटा ठूलो डिजाइन निर्णय थियो।

मलाई गलत नठान्नुहोस्: धेरै प्रक्रियाहरू र आधुनिक समानान्तर नियन्त्रण समावेश गर्ने राम्रो, भरपर्दो र छिटो बनाउन यो पूर्ण रूपमा सम्भव छ। तर हामीलाई लाग्छ कि डकरलाई मात्र खेलाडीको रूपमा प्रयोग गरेर कोड लेख्न र कायम राख्न यो सरल र सजिलो छ।

यसको मतलब यो हो कि यदि तपाईले /var/lib/docker डाइरेक्टरी धेरै डकर उदाहरणहरू बीच साझा गर्नुभयो भने, तपाईलाई समस्या हुनेछ। अवश्य पनि, यसले काम गर्न सक्छ, विशेष गरी परीक्षणको प्रारम्भिक चरणहरूमा। "सुन्नुहोस्, आमा, म डकरको रूपमा उबुन्टु चलाउन सक्छु!" तर केहि जटिल प्रयास गर्नुहोस्, जस्तै दुई फरक उदाहरणहरूबाट एउटै छवि तान्ने, र तपाईंले संसार जलेको देख्नुहुनेछ।

यसको मतलब यो हो कि यदि तपाइँको CI प्रणालीले निर्माण र पुन: निर्माण गर्दछ भने, तपाइँले तपाइँको डकर-इन-डकर कन्टेनर पुन: सुरु गर्दा, तपाइँ यसको क्यासमा एक परमाणु छोड्ने जोखिममा हुनुहुन्छ। यो बिल्कुल राम्रो छैन!

समस्या निवारण

एक कदम पछि हटौं। के तपाईलाई साँच्चै डकर-इन-डकर चाहिन्छ वा के तपाई केवल डकर चलाउन सक्षम हुन चाहानुहुन्छ र तपाइँको CI प्रणालीबाट कन्टेनर र छविहरू चलाउन सक्नुहुन्छ जब कि CI प्रणाली आफैं कन्टेनरमा छ?

म शर्त गर्छु कि अधिकांश मानिसहरू पछिल्लो विकल्प चाहन्छन्, यसको मतलब तिनीहरू जेन्किन्स जस्ता सीआई प्रणाली कन्टेनरहरू चलाउन सक्षम हुन चाहन्छन्। र यो गर्न को लागी सबै भन्दा सजिलो तरीका भनेको तपाईको CI कन्टेनरमा डकर सकेट घुसाउनु र यसलाई -v फ्ल्यागसँग सम्बद्ध गर्नु हो।

सरल शब्दमा भन्नुपर्दा, जब तपाइँ तपाइँको CI कन्टेनर (जेनकिन्स वा अन्य) चलाउनुहुन्छ, डकर-इन-डकरको साथ केहि ह्याक गर्नुको सट्टा, यसलाई लाइनबाट सुरु गर्नुहोस्:

docker run -v /var/run/docker.sock:/var/run/docker.sock ...

यस कन्टेनरसँग अब डकर सकेटमा पहुँच हुनेछ र त्यसैले कन्टेनरहरू चलाउन सक्षम हुनेछ। त्यो बाहेक "बाल" कन्टेनरहरू चलाउनुको सट्टा, यसले "भाइबहिनी" कन्टेनरहरू सुरू गर्नेछ।

आधिकारिक डकर छवि प्रयोग गरेर यो प्रयास गर्नुहोस् (जसमा डकर बाइनरी समावेश छ):

docker run -v /var/run/docker.sock:/var/run/docker.sock 
           -ti docker

यो डकर-इन-डकर जस्तो देखिन्छ र काम गर्दछ, तर यो डकर-इन-डकर होइन: जब यो कन्टेनरले थप कन्टेनरहरू सिर्जना गर्दछ, तिनीहरू शीर्ष-स्तर डकरमा सिर्जना हुनेछन्। तपाईंले नेस्टिङको साइड इफेक्टहरू अनुभव गर्नुहुने छैन र एसेम्बली क्यास धेरै कलहरूमा साझा गरिनेछ।

नोट: यस लेखको अघिल्लो संस्करणहरूले डकर बाइनरीलाई होस्टबाट कन्टेनरमा लिङ्क गर्न सल्लाह दिए। यो अब अविश्वसनीय भएको छ किनकि डकर इन्जिनले अब स्थिर वा नजिक-स्थिर पुस्तकालयहरू कभर गर्दैन।

त्यसोभए, यदि तपाइँ जेनकिन्स सीआईबाट डकर प्रयोग गर्न चाहनुहुन्छ भने, तपाइँसँग २ विकल्पहरू छन्:
आधारभूत छवि प्याकेजिङ प्रणाली प्रयोग गरेर डकर CLI स्थापना गर्दै (अर्थात यदि तपाईंको छवि डेबियनमा आधारित छ भने, .deb प्याकेजहरू प्रयोग गर्नुहोस्), डकर API प्रयोग गरी।

केही विज्ञापनहरू 🙂

हामीसँग रहनु भएकोमा धन्यवाद। तपाईलाई हाम्रा लेखहरू मनपर्छ? थप रोचक सामग्री हेर्न चाहनुहुन्छ? हामीलाई अर्डर गरेर वा साथीहरूलाई सिफारिस गरेर समर्थन गर्नुहोस्, $4.99 बाट विकासकर्ताहरूको लागि क्लाउड VPS, प्रविष्टि-स्तर सर्भरहरूको एक अद्वितीय एनालग, जुन हामीले तपाईंको लागि आविष्कार गरेको हो: VPS (KVM) E5-2697 v3 (6 कोर) 10GB DDR4 480GB SSD 1Gbps $ 19 बाट वा कसरी सर्भर साझा गर्ने बारे सम्पूर्ण सत्य? (RAID1 र RAID10 सँग उपलब्ध, 24 कोर सम्म र 40GB DDR4 सम्म)।

डेल R730xd 2x एम्स्टर्डमको इक्विनिक्स टियर IV डाटा सेन्टरमा सस्तो छ? यहाँ मात्र 2 x Intel TetraDeca-Core Xeon 2x E5-2697v3 2.6GHz 14C 64GB DDR4 4x960GB SSD 1Gbps 100 TV $199 बाट नेदरल्याण्ड मा! Dell R420 - 2x E5-2430 2.2Ghz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB - $99 बाट! बारे पढ्नुहोस् पूर्वाधार कर्पोरेशन कसरी निर्माण गर्ने। डेल R730xd E5-2650 v4 सर्भरहरूको प्रयोगको साथ एक पैसाको लागि 9000 यूरो मूल्यको वर्ग?

स्रोत: www.habr.com