🤣 🌴 🍃 कंटेनर में सिस्टमड चलाएं 👨🏿‍🤝‍👨🏼 🚦 🕍

हम लंबे समय से कंटेनरों में सिस्टमड का उपयोग करने के विषय का अनुसरण कर रहे हैं। 2014 में वापस, हमारे सुरक्षा इंजीनियर डैनियल वाल्श ने डॉकटर कंटेनर के भीतर रनिंग सिस्टमड नामक एक लेख लिखा था, और कुछ साल बाद एक अन्य लेख जिसे रनिंग सिस्टमड एक गैर-विशेषाधिकार प्राप्त कंटेनर में कहा गया, जिसमें उन्होंने कहा कि स्थिति नहीं थी बहुत सुधार हुआ। विशेष रूप से, उन्होंने लिखा है कि "दुर्भाग्य से, और दो साल बाद, अगर आप डॉकटर प्रणाली को गूगल करते हैं, तो सबसे पहले जो पॉप अप होता है, वही उसका पुराना लेख है। इसलिए यह कुछ बदलने का समय है। ” इसके अलावा, हमने पहले से ही डॉकर और सिस्टमड के डेवलपर्स के बीच संघर्ष के बारे में बात की थी।

इस लेख में हम बताएंगे कि पिछले समय में क्या बदलाव आया है और इस मामले में पॉडमैन कैसे हमारी मदद कर सकता है।

कंटेनर के अंदर सिस्टमड चलाने के कई कारण हैं, जैसे:

मल्टीसर्विस कंटेनर - कई लोग अपने मल्टीसर्विस एप्लिकेशन को वर्चुअल मशीनों से बाहर निकालना चाहते हैं और उन्हें कंटेनरों में चलाना चाहते हैं। यह बेहतर होगा, निश्चित रूप से, इस तरह के अनुप्रयोगों को माइक्रोसर्विसेस में तोड़ना है, लेकिन हर कोई इसे अभी तक नहीं कर सकता है या बस समय नहीं है। इसलिए, यूनिट फाइलों से सिस्टमड द्वारा शुरू की गई सेवाओं के रूप में इस तरह के अनुप्रयोगों को लॉन्च करना सही अर्थ है।
सिस्टमड यूनिट फाइलें - कंटेनर के अंदर चलने वाले अधिकांश एप्लिकेशन कोड से संकलित किए जाते हैं जो पहले आभासी या भौतिक मशीनों पर चलते थे। इन अनुप्रयोगों में एक इकाई फ़ाइल है जो इन अनुप्रयोगों के लिए लिखा गया था और समझता है कि उन्हें कैसे चलाना है। अतः अपनी स्वयं की init सेवा को हैक करने के बजाय समर्थित विधियों का उपयोग करके सेवाओं को शुरू करना बेहतर है।
Systemd एक प्रक्रिया प्रबंधक है। यह सेवाओं को प्रबंधित करता है (किसी भी अन्य उपकरण की तुलना में बेहतर है, सेवाओं को पुनरारंभ करता है, या ज़ोंबी प्रक्रियाओं को क्रॉल करता है)।

कंटेनरों में सिस्टेम नहीं चलने के कई कारण हैं। मुख्य यह है कि सिस्टमड / जर्नल कंटेनरों के उत्पादन को नियंत्रित करता है, जबकि कुबेरनेट्स या ओपनशिफ्ट जैसे उपकरण कंटेनरों से सीधे स्टडआउट और स्टडर पर लॉग लिखने की अपेक्षा करते हैं। इसलिए, यदि आप ऑर्केस्ट्रेशन टूल के माध्यम से कंटेनरों को प्रबंधित करने का इरादा रखते हैं जैसे कि ऊपर उल्लेख किया गया है, तो आपको सिस्टमड पर आधारित कंटेनरों के उपयोग पर गंभीरता से विचार करने की आवश्यकता है। इसके अलावा, डॉकटर और मोबी के डेवलपर्स अक्सर कंटेनरों में सिस्टमड का उपयोग करने के लिए दृढ़ता से विरोध करते थे।

पोडमैन का आना

हमें यह घोषणा करते हुए खुशी हो रही है कि स्थिति आखिरकार जमीन से दूर हो गई है। रेड हैट में कंटेनर लॉन्च करने के लिए जिम्मेदार टीम ने अपने खुद के कंटेनर इंजन को विकसित करने का फैसला किया। उन्हें पॉडमैन नाम मिला और वही कमांड लाइन इंटरफ़ेस (सीएलआई) जो डॉकर के रूप में प्रस्तुत करता है। और लगभग सभी डॉकटर कमांडों का उपयोग पॉडमैन में उसी तरह किया जा सकता है। हम अक्सर सेमिनार आयोजित करते हैं, जिसे अब चेंज डॉकटर टू पॉडमैन कहा जाता है, और पहली स्लाइड आपको रजिस्टर करने के लिए प्रोत्साहित करती है: उर्फ डॉकटर = पॉडमैन।

कई ऐसा करते हैं।

मेरे पॉडमैन और मैं सिस्टमड आधारित कंटेनरों के खिलाफ किसी भी तरह से नहीं हैं। आखिरकार, Systemd को अक्सर लिनक्स इनिट-सब-सिस्टम के रूप में उपयोग किया जाता है, और इसे कंटेनरों में सामान्य रूप से काम नहीं करने का मतलब है कि जिस तरह से हजारों लोगों को कंटेनर चलाने के लिए उपयोग किया जाता है।

पॉडमैन जानता है कि कंटेनर में सिस्टमड को ठीक से काम करने के लिए क्या करना है। उसे / tmpf बढ़ते / tmpfs जैसी चीज़ों की ज़रूरत है। "कंटेनर" वातावरण सक्षम होने पर वह पसंद करती है, और वह cgroup निर्देशिका के अपने हिस्से और / var / log / journald फ़ोल्डर में लिखने की अनुमति का इंतजार कर रही है।

कंटेनर शुरू करते समय जिसमें init या systemd पहला कमांड होता है, पॉडमैन स्वचालित रूप से tmpfs और Cgroups को कॉन्फ़िगर करता है ताकि सिस्टमड बिना समस्याओं के शुरू हो। इस ऑटो स्टार्ट मोड को ब्लॉक करने के लिए --systemd = false विकल्प का उपयोग करें। कृपया ध्यान दें कि पोडमैन सिस्टमड मोड का उपयोग केवल तभी करता है जब यह देखता है कि सिस्टमड या इनिट कमांड को निष्पादित करना आवश्यक है।

यहाँ मैनुअल से एक अंश है:

आदमी पॉडमैन चलाता है
...

–सिस्टमड = सत्य | असत्य

कंटेनर को सिस्टमड मोड में चलाना। डिफ़ॉल्ट रूप से सक्षम।

यदि एक systemd या init कमांड को कंटेनर के अंदर निष्पादित किया जाता है, तो Podman निम्नलिखित निर्देशिकाओं में tmpfs माउंट बिंदुओं को कॉन्फ़िगर करेगा:

/ रन, / रन / लॉक, / tmp, / sys / fs / cgroup / systemd, / var / lib / जर्नल

इसके अलावा, SIGRTMIN + 3 का उपयोग डिफ़ॉल्ट रूप से स्टॉप सिग्नल के रूप में किया जाएगा।

यह सब सिस्टमड को बिना किसी संशोधन के बंद कंटेनर में काम करने की अनुमति देता है।

नोट: systemd cgroup फ़ाइल सिस्टम पर लिखने का प्रयास कर रहा है। हालाँकि, डिफ़ॉल्ट रूप से SELinux कंटेनरों को ऐसा करने से रोकता है। लेखन को सक्षम करने के लिए, बैच पैरामीटर container_manage_cgroup सक्षम करें:

setsebool -P कंटेन_manage_cgroup सच है

अब देखो कि डॉकफाइल पॉडमैन का उपयोग करते समय कंटेनर में सिस्टमड को चलाने के लिए कैसा दिखता है:

# cat Dockerfile FROM fedora RUN dnf -y install httpd; dnf clean all; systemctl enable httpd EXPOSE 80 CMD [ "/sbin/init" ]

वह सब है।

अब कंटेनर को इकट्ठा करें:

 # podman build -t systemd .

हम SELinux को सिस्टमग्रुप को Cgroups के विन्यास को संशोधित करने की अनुमति देने के लिए कहते हैं:

 # setsebool -P container_manage_cgroup true

कई, वैसे, इस कदम के बारे में भूल जाओ। सौभाग्य से, यह केवल एक बार करने के लिए पर्याप्त है और सिस्टम रिबूट के बाद सेटिंग को सहेजा जाता है।

अब बस कंटेनर चलाएं:

 # podman run -ti -p 80:80 systemd systemd 239 running in system mode. (+PAM +AUDIT +SELINUX +IMA -APPARMOR +SMACK +SYSVINIT +UTMP +LIBCRYPTSETUP +GCRYPT +GNUTLS +ACL +XZ +LZ4 +SECCOMP +BLKID +ELFUTILS +KMOD +IDN2 -IDN +PCRE2 default-hierarchy=hybrid) Detected virtualization container-other. Detected architecture x86-64. Welcome to Fedora 29 (Container Image)! Set hostname to <1b51b684bc99>. Failed to install release agent, ignoring: Read-only file system File /usr/lib/systemd/system/systemd-journald.service:26 configures an IP firewall (IPAddressDeny=any), but the local system does not support BPF/cgroup based firewalling. Proceeding WITHOUT firewalling in effect! (This warning is only shown for the first loaded unit using IP firewalling.) [ OK ] Listening on initctl Compatibility Named Pipe. [ OK ] Listening on Journal Socket (/dev/log). [ OK ] Started Forward Password Requests to Wall Directory Watch. [ OK ] Started Dispatch Password Requests to Console Directory Watch. [ OK ] Reached target Slices. … [ OK ] Started The Apache HTTP Server.

सब कुछ, सेवा शुरू हुई और काम करती है:

 $ curl localhost <html xmlns="http://www.w3.org/1999/xhtml" xml:lang="en" lang="en"> … </html>

नोट: इसे डॉकर पर दोहराने की कोशिश न करें! वहां, एक दानव के माध्यम से इस तरह के कंटेनरों को लॉन्च करने के लिए एक टैम्बोरिन के साथ नृत्य की आवश्यकता होती है। (इसके लिए अतिरिक्त फ़ील्ड और पैकेज की आवश्यकता होगी ताकि डॉक में मूल रूप से काम किया जा सके, या विशेषाधिकार प्राप्त कंटेनर में चलाने की आवश्यकता होगी। विवरण के लिए लेख देखें ।)

एक युगल पोडमैन और सिस्टमड के बारे में अधिक शांत चीजें

पोडमैन सिस्टमक यूनिट फाइलों में डॉक से बेहतर काम करता है

यदि सिस्टम बूट पर कंटेनरों को शुरू करने की आवश्यकता होती है, तो आप बस सिस्टम यूनिट फ़ाइल में उपयुक्त पॉडमैन कमांड डाल सकते हैं, जो सेवा को लॉन्च करेगा और इसकी निगरानी करेगा। पोडमैन मानक कांटा-निष्पादन मॉडल का उपयोग करता है। दूसरे शब्दों में, कंटेनर प्रक्रिया पॉडमैन प्रक्रिया से संबद्ध हैं, इसलिए सिस्टमड आसानी से उनकी निगरानी कर सकता है।

डॉकर क्लाइंट-सर्वर मॉडल का उपयोग करता है, और डॉकर सीएलआई कमांड को सीधे यूनिट फ़ाइल में भी रखा जा सकता है। हालाँकि, डॉकर क्लाइंट डोकर डेमॉन से जुड़ने के बाद, यह (क्लाइंट) सिर्फ एक और प्रक्रिया बन जाती है जो स्टड और स्टडआउट की प्रक्रिया करती है। बदले में, सिस्टमक को डोकर क्लाइंट और कंटेनर के बीच कनेक्शन के बारे में कोई पता नहीं है जो डॉकर डेमन चला रहा है, और इसलिए, इस मॉडल के तहत, सिस्टमड मूल रूप से सेवा की निगरानी नहीं कर सकता है।

सॉकेट के माध्यम से सिस्टमैड सक्रियण

पॉडमैन एक सॉकेट के माध्यम से सक्रियता को सही ढंग से पूरा करता है। क्योंकि पॉडमैन कांटा-निष्पादन मॉडल का उपयोग करता है, यह अपने बच्चे के कंटेनर प्रक्रियाओं के लिए एक सॉकेट को अग्रेषित कर सकता है। डॉकर पता नहीं कैसे, क्योंकि यह एक क्लाइंट-सर्वर मॉडल का उपयोग करता है।

पॉलीमैन जो कंटेनर के साथ दूरदराज के ग्राहकों के साथ बातचीत करने के लिए उपयोग करता है वह वास्तव में सॉकेट के माध्यम से सक्रिय होता है। कॉकपिट-पॉडमैन पैकेज, Node.js और कॉकपिट प्रोजेक्ट के हिस्से में लिखा गया है, लोगों को एक वेब इंटरफ़ेस के माध्यम से पॉडमैन कंटेनरों के साथ बातचीत करने की अनुमति देता है। वेब डेमॉन जो कॉकपिट-पॉडमैन पर चल रहा है, वह उस वर्लिंक सॉकेट को संदेश भेजता है जिसे सिस्टमड सुन रहा है। उसके बाद, सिस्टमड संदेश प्राप्त करने और कंटेनरों का प्रबंधन शुरू करने के लिए पॉडमैन कार्यक्रम को सक्रिय करता है। एक सॉकेट के माध्यम से सिस्टमड को सक्रिय करना आपको दूरस्थ एपीआई को लागू करते समय लगातार काम करने वाले डेमन के बिना करने की अनुमति देता है।

इसके अलावा, हम पॉडमैन के लिए एक और क्लाइंट विकसित कर रहे हैं, जिसे पॉडमैन-रिमोट कहा जाता है, जो उसी पॉडमैन सीएलआई को लागू करता है, लेकिन कंटेनर लॉन्च करने के लिए वर्लिंक कहता है। पॉडमैन-रिमोट एसएसएच सत्रों के शीर्ष पर काम कर सकता है, जो आपको विभिन्न मशीनों पर कंटेनरों के साथ सुरक्षित रूप से बातचीत करने की अनुमति देता है। समय के साथ, हम लिनक्स के साथ-साथ मैकओएस और विंडोज का समर्थन करने के लिए पॉडमैन-रिमोट का उपयोग करने की योजना बनाते हैं, ताकि इन प्लेटफार्मों पर डेवलपर्स पॉडमैन वर्लिंक के साथ लिनक्स वर्चुअल मशीन चला सकें और यह महसूस करें कि कंटेनर स्थानीय मशीन पर चल रहे हैं।

SD_NOTIFY

Systemd आपको आवश्यक कंटेनरीकृत सेवा शुरू होने तक सहायक सेवाओं के लॉन्च में देरी करने की अनुमति देता है। Podman कंटेनरीकृत सेवा के लिए SD_NOTIFY सॉकेट को अग्रेषित कर सकते हैं ताकि सेवा काम के लिए अपनी तत्परता की प्रणाली को सूचित करे। और फिर, डॉकटर, क्लाइंट-सर्वर मॉडल का उपयोग करते हुए, पता नहीं कैसे।

योजनाओं में

हम पॉडमैन जेनरेट करने के लिए systemd CONTAINERID कमांड जोड़ने की योजना बनाते हैं, जो एक विशिष्ट कंटेनर को प्रबंधित करने के लिए systemd यूनिट फ़ाइल उत्पन्न करेगा। यह अनपेक्षित कंटेनरों के लिए रूट और रूटलेस मोड दोनों में काम करना चाहिए। हमने OCI- संगत systemd-nspawn रनटाइम बनाने का अनुरोध भी देखा।

निष्कर्ष

एक कंटेनर में रनिंग सिस्टमड एक समझने की जरूरत है। और पॉडमैन के लिए धन्यवाद, हमारे पास अंत में एक कंटेनर लांचर वातावरण है जो सिस्टमड के लिए शत्रुतापूर्ण नहीं है, लेकिन इसका उपयोग करना आसान है।

कंटेनर में सिस्टमड चलाएं