Покретање системд-а у контејнеру

Већ дуже време пратимо тему коришћења системд-а у контејнерима. Још 2014. године наш инжењер безбедности Даниел Валсх је написао чланак Покретање системд-а унутар Доцкер контејнера, а пар година касније - још један, који се звао Покретање системд-а у непривилегованом контејнеру, у којој је навео да се ситуација није много поправила. Конкретно, написао је да „нажалост, чак и две године касније, ако прогуглате „Доцкер систем“, прво што се појави је његов исти стари чланак. Дакле, време је да се нешто промени." Поред тога, већ смо говорили о сукоб између Доцкер-а и системд програмера.

У овом чланку ћемо показати шта се променило током времена и како нам Подман може помоћи у овој ствари.

Постоји много разлога за покретање системд унутар контејнера, као што су:

1. Мултисервисни контејнери – многи људи желе да извуку своје мулти-сервисне апликације из виртуелних машина и покрећу их у контејнерима. Било би боље, наравно, такве апликације разбити у микросервисе, али не знају сви још како то да ураде или једноставно немају времена. Стога, покретање таквих апликација као што су сервиси које покреће системд из јединичних датотека има савршеног смисла.
2. Системд Унит Филес – Већина апликација које се покрећу унутар контејнера изграђена је од кода који је претходно био покренут на виртуелним или физичким машинама. Ове апликације имају јединичну датотеку која је написана за ове апликације и разуме како их треба покренути. Зато је ипак боље покренути услуге користећи подржане методе, него да хакујете сопствену инит услугу.
3. Системд је менаџер процеса. Управља услугама (искључује, поново покреће услуге или убија зомби процесе) боље од било ког другог алата.

Међутим, постоји много разлога да се системд не покрене у контејнерима. Главни је да системд/јоурналд контролише излаз контејнера и алата попут Кубернетес или ОпенСхифт очекујте да контејнери пишу дневник директно у стдоут и стдерр. Стога, ако намеравате да управљате контејнерима помоћу алата за оркестрацију као што су они горе поменути, требало би да озбиљно размислите о коришћењу контејнера заснованих на системд-у. Поред тога, Доцкер и Моби програмери су се често оштро противили коришћењу системд-а у контејнерима.

Долазак Подмана

Са задовољством можемо известити да је ситуација коначно кренула напред. Тим одговоран за покретање контејнера у Ред Хату одлучио је да се развије сопствени контејнерски мотор. Добио је име Подман и нуди исти интерфејс командне линије (ЦЛИ) као Доцкер. И скоро све Доцкер команде се могу користити у Подману на исти начин. Често водимо семинаре, који се сада зову Промена Доцкера у Подман, а први слајд захтева писање: алиас доцкер=подман.

Многи људи то раде.

Мој Подман и ја ни на који начин нисмо против контејнера заснованих на системдима. На крају крајева, Системд је најчешће коришћени Линук инит подсистем, а не дозволити му да правилно ради у контејнерима значи игнорисати како су хиљаде људи навикли да покрећу контејнере.

Подман зна шта треба да уради да би системд исправно радио у контејнеру. Потребне су ствари попут монтирања тмпфс-а на /рун и /тмп. Она воли да има омогућено „контејнеризовано“ окружење и очекује приступ писању свом делу директоријума цгроуп и директоријуму /вар/лог/јоурналд.

Када покренете контејнер у коме је прва команда инит или системд, Подман аутоматски конфигурише тмпфс и Цгроупс како би осигурао да се системд покреће без проблема. Да бисте блокирали овај режим аутоматског покретања, користите опцију --системд=фалсе. Имајте на уму да Подман користи системски режим само када види да треба да покрене системд или инит команду.

Ево извода из приручника:

човек подман трчи
...

–системд=труе|фалсе

Покретање контејнера у режиму системд. Омогућено подразумевано.

Ако покренете системд или инит команду унутар контејнера, Подман ће конфигурисати тачке монтирања тмпфс у следећим директоријумима:

/рун, /рун/лоцк, /тмп, /сис/фс/цгроуп/системд, /вар/либ/јоурнал

Такође, подразумевани стоп сигнал ће бити СИГРТМИН+3.

Све ово омогућава системд-у да ради у затвореном контејнеру без икаквих модификација.

НАПОМЕНА: системд покушава да упише у систем датотека цгроуп. Међутим, СЕЛинук подразумевано спречава контејнере да то раде. Да бисте омогућили писање, омогућите логички параметар цонтаинер_манаге_цгроуп:

сетсебоол -П цонтаинер_манаге_цгроуп труе

Сада погледајте како изгледа Доцкерфиле за покретање системд-а у контејнеру користећи Подман:

# cat Dockerfile

FROM fedora

RUN dnf -y install httpd; dnf clean all; systemctl enable httpd

EXPOSE 80

CMD [ "/sbin/init" ]

То је све.

Сада састављамо контејнер:

# podman build -t systemd .

Кажемо СЕЛинук-у да дозволи системд-у да измени конфигурацију Цгроупс:

# setsebool -P container_manage_cgroup true

Узгред, многи људи заборављају на овај корак. На срећу, ово треба да се уради само једном и поставка се чува након поновног покретања система.

Сада само покрећемо контејнер:

# podman run -ti -p 80:80 systemd

systemd 239 running in system mode. (+PAM +AUDIT +SELINUX +IMA -APPARMOR +SMACK +SYSVINIT +UTMP +LIBCRYPTSETUP +GCRYPT +GNUTLS +ACL +XZ +LZ4 +SECCOMP +BLKID +ELFUTILS +KMOD +IDN2 -IDN +PCRE2 default-hierarchy=hybrid)

Detected virtualization container-other.

Detected architecture x86-64.

Welcome to Fedora 29 (Container Image)!

Set hostname to <1b51b684bc99>.

Failed to install release agent, ignoring: Read-only file system

File /usr/lib/systemd/system/systemd-journald.service:26 configures an IP firewall (IPAddressDeny=any), but the local system does not support BPF/cgroup based firewalling.

Proceeding WITHOUT firewalling in effect! (This warning is only shown for the first loaded unit using IP firewalling.)

[  OK ] Listening on initctl Compatibility Named Pipe.

[  OK ] Listening on Journal Socket (/dev/log).

[  OK ] Started Forward Password Requests to Wall Directory Watch.

[  OK ] Started Dispatch Password Requests to Console Directory Watch.

[  OK ] Reached target Slices.

…

[  OK ] Started The Apache HTTP Server.

То је то, услуга је покренута и ради:

$ curl localhost

<html  xml_lang="en" lang="en">

…

</html>

НАПОМЕНА: Не покушавајте ово на Доцкер-у! Тамо још увек треба да играте са тамбуром да бисте лансирали овакве контејнере кроз демона. (Биће потребна додатна поља и пакети да би све ово функционисало беспрекорно у Доцкер-у или ће морати да се покрене у привилегованом контејнеру. За детаље погледајте Чланак.)

Још пар цоол ствари о Подману и системд-у

Подман ради боље од Доцкер-а у системским датотекама јединица

Ако контејнери треба да се покрену када се систем покрене, онда можете једноставно да убаците одговарајуће Подман команде у системд јединичну датотеку, која ће покренути услугу и надгледати је. Подман користи стандардни форк-екец модел. Другим речима, контејнерски процеси су деца Подман процеса, тако да их системд може лако надгледати.

Доцкер користи модел клијент-сервер, а Доцкер ЦЛИ команде се такође могу поставити директно у јединичну датотеку. Међутим, када се Доцкер клијент повеже са Доцкер демоном, он (клијент) постаје само још један процес који рукује стдин и стдоут. Заузврат, системд нема појма о вези између Доцкер клијента и контејнера који ради под контролом Доцкер демона, па стога, унутар овог модела, системд у основи не може да надгледа услугу.

Активирање системд преко соцкета

Подман исправно управља активацијом преко утичнице. Пошто Подман користи форк-екец модел, може да проследи сокет својим процесима подређеног контејнера. Доцкер то не може да уради јер користи модел клијент-сервер.

Варлинк услуга коју Подман користи за комуникацију са удаљеним клијентима до контејнера заправо се активира преко утичнице. Цоцкпит-подман пакет, написан у Ноде.јс и део пројекта пилотске кабине, омогућава људима да комуницирају са Подман контејнерима преко веб интерфејса. Веб демон који покреће цоцкпит-подман шаље поруке на варлинк сокет који системд слуша. Системд затим активира Подман програм да прима поруке и почне да управља контејнерима. Активирање системд-а преко сокета елиминише потребу за константно покренутим демоном приликом имплементације удаљених АПИ-ја.

Поред тога, развијамо још један Подман клијент који се зове подман-ремоте, који имплементира исти Подман ЦЛИ али позива варлинк за покретање контејнера. Подман-ремоте може да ради на врху ССХ сесија, омогућавајући вам безбедну интеракцију са контејнерима на различитим машинама. Временом планирамо да омогућимо подман-ремоте-у да подржава МацОС и Виндовс заједно са Линук-ом, тако да програмери на тим платформама могу да покрећу Линук виртуелну машину са покренутим Подман варлинком и да имају потпуно искуство да контејнери раде на локалној машини.

СД_НОТИФИ

Системд вам омогућава да одложите покретање помоћних услуга док не почне контејнерска услуга која им је потребна. Подман може да проследи СД_НОТИФИ утичницу на контејнерски сервис тако да услуга обавести системд да је спремна за рад. И опет, Доцкер, који користи модел клијент-сервер, не може ово да уради.

У плановима

Планирамо да додамо команду подман генерате системд ЦОНТАИНЕРИД, која ће генерисати системд јединичну датотеку за управљање одређеним контејнером. Ово би требало да функционише и у роот-у и у режиму без роот-а за непривилеговане контејнере. Видели смо чак и захтев за ОЦИ-компатибилно системд-нспавн рунтиме.

Закључак

Покретање системд-а у контејнеру је разумљива потреба. И захваљујући Подману, коначно имамо рунтиме контејнера које није у сукобу са системд-ом, али га чини лаким за коришћење.

Извор: ввв.хабр.цом