注册 登录  
 加关注
   显示下一条  |  关闭
温馨提示!由于新浪微博认证机制调整,您的新浪微博帐号绑定已过期,请重新绑定!立即重新绑定新浪微博》  |  关闭

snoopyxdy的博客

https://github.com/DoubleSpout

 
 
 

日志

 
 

使用docker,不要用ssh连接到你的container  

2014-08-20 14:08:59|  分类: python |  标签: |举报 |字号 订阅

  下载LOFTER 我的照片书  |
转载翻译,原文地址1:http://jpetazzo.github.io/2014/06/23/docker-ssh-considered-evil/
原文地址2:http://blog.docker.com/2014/06/why-you-dont-need-to-run-sshd-in-docker/

在刚接触docker的时候,人们经常会说:“我们怎么进入到我的container中去呢?”,其他人会告诉他:“ 在container里面装一个ssh server,这样你就可以连入你的container了。” 但是这是糟糕的尝试,下面我将告诉大家为什么这么做是错误的,并且我们用什么方式来替代它。

在container里安装一个ssh server是非常诱人的,因为这样我们就可以直接连接container并且进入它的内部,我们中的大部分人每天都会用到ssh,我们用公钥私钥来进行登录,或者使用端口映射等其他方式。

所以也不奇怪,人们会建议,在container中创建一个ssh server,但是我们在这么做之前需要考虑以下问题:
1、你需要ssh来干什么?
大部分需求是,你要检查日志,做备份,或者重启进程,调整配置,查看服务器情况,下面将介绍如果不使用ssh来做到以上这些事情。

2、你如何来管理密钥和密码?
大部分的可能是,你将你的密钥和密码一起装进你的image中,或者将他们放在文件卷中,想一想如果你要更新你的密钥或者密码,你应该怎么做呢?
如果你把它们装载进image中,那你每次更新都需要重新创建image,重新发布image,然后重启container。这样做是不是不是很优雅。
一个更好的办法是将这些东西放在一个文件卷标中,它能工作,但是也有显著的缺点,你必须保证你的container没有对这个文件卷标有写的权限,否则可能会污染你的密钥和密码,从而造成你无法登录这个container。而且事情可能因为你为多个container共享这些东西而变的更加难以管理和糟糕。

3、你如何管理你的安全升级
SSH server 是非常安全的,但是一旦你的密钥或密码泄漏,你不得不升级所有使用SSH的container,并且重启他们。这也以为着注入memcache这样的内存缓存服务器的缓存将全部丢失,你不得不重建缓存。

4、你是否需要“加入SSH server”就能工作?
不是的,你还需要加入进程管理软件,Monit 或 Supervisor等监控软件,让应用开启多个进程运行。换而言之,你把一个简单的container转变为一个复杂的东西了。如果你的应用停止了,你不得不从你的进程管理软件那里获得信息,因为Docker只能管理单进程。

5、你负责把一个应用转载进一个container,但你也负责访问策略和安全规范?
在一些小的场景中,这没什么问题,但是在大的应用中,你是将应用装载进container的开发人员,可能有另外的人负责对这个应用的访问策略部署。你的公司可能有严格的权限管控,因此公司肯定不希望在container中安装ssh server。

但是不使用ssh,我们改如何做以下事情呢?
1、备份我的数据
你的数据必须是一个volumn,这样你可以启动另外一个container,并且通过 --volumes-from 来共享你的应用的container的数据,这个新的container会来处理数据备份的事情。额外的好处,如果你项对你的数据文件(比如:日志)进行压缩长久保存,那完全可以在一个新的container中处理,这样你的应用container就是干净的

2、检查日志
使用文件volumn,和之前一样的方法,重新启动一个日志分析的container,让它来处理日志和检查日志。

3、重启我的应用服务
当你发出” /etc/init.d/foo restart “ 或 ”service foo restart“,它几乎总是导致向进程发送一个特殊的信号,你可以使用如下的命令发送这个信号:”docker kill -s <signal>.“
一些服务他不监听信号,但是接受一个特殊的命令在socket套接字上,如果是tcp server,那就仅仅通过网络链接他,如果他使用unix socket,那就又要用到 volumn了。设置container中的服务,让他控制的sockert在一个特殊的目录中,这个目录就是volumn,然后你可以启动一个新的container,使用这个文件 volumn。

但是这相当复杂吗?假设你有一个服务叫 foo,创建一个foo.sock 文件在 /var/run/foo.sock,现在需要重启这个服务。我们只需要在启动foo服务时,加上 -v /var/run,(或者加上 VOLUME /var/run),然后当你重启时,执行--volumes-from 参数就可以让新的foo服务启动起来了。

# Starting the service
CID=$(docker run -d -v /var/run fooservice)
# Restarting the service with a sidekick container
docker run --volumes-from $CID fooservice fooctl restart


4、修改我的配置文件
如果你正在执行一个持久的配置变更,你最好把他的改变放在image中,如果你又启动一个container,那么服务还是使用的老的配置,你的配置变更将丢失,所以不要使用ssh来访问container。
“但是我需要在应用存活期间,改变我的配置,例如增加一个新的虚拟站点”
这样的话还是需要使用volumn来处理,并且通过服务的api来动态读取配置,这样所有的应用container都可以快速的临时变更配置。

5、调试我的应用
这可能是唯一需要进入container的场景了,这样你就需要 nsenter 软件

介绍 nsenter
nsenter是一个小的工具,用来进入命名空间中,它可以进入命名空间,或者在现有的命名空间中产生一个新的进程,命名空间是什么?他们是container的重要组成部分。
简单点说,通过使用 nsenter 你可以进入一个已经存在的container中,尽管这个container没有安装ssh server或者其他类似软件。
项目地址:jpetazzo/nsenter 
或者简单的来安装:

docker run -v /usr/local/bin:/target jpetazzo/nsenter

它将会把nsenter安装到主机的 /usr/bin 中,你就可以方便的使用它了。
使用方法:
1、找出你想要进入的container的pid

PID=$(docker inspect --format {{.State.Pid}} <container_name_or_ID>)

2、根据pid进入container内部

$ sudo nsenter --target $PID --mount --uts --ipc --net --pid

3、如何远程访问
如果你想要远程访问这个container,那么你至少有2种方法
通过SSH链接到你的docker主机,并且使用 nsenter。
通过SSH链接到你的docker主机,通过一个特殊的密钥参数授权esenter命令。

如果你遇到:

$ docker run -v /usr/local/bin:/target jpetazzo/nsenter
Installing nsenter to /target
cp: cannot create regular file '/target/nsenter': Permission denied
Installing docker-enter to /target
cp: cannot create regular file '/target/docker-enter': Permission denied

那就需要手动将 container 里的 nsenter 命令拷贝到 /usr/local/bin 目录下了
1、先把jpetazzo/nsenter运行起来:

 docker run -d -i -t jpetazzo/nsenter /bin/bash

2、根据docker ps 找到container的id,然后执行cp命令:

cp /var/lib/docker/devicemapper/mnt/<containid>/rootfs/nsenter /usr/local/bin/
cp /var/lib/docker/devicemapper/mnt/<containid>/rootfs/docker-enter /usr/local/bin/

注意:devicemapper 是centos的路径名,windows下是aufs

如果遇到在container里无法解析域名,则需要手动增加dns服务器,方法如下:
DOCKER_OPTS=" --dns 8.8.8.8"
service docker restart



总结
docker允许你根据自己工作习惯处理,但是请跳出这样的概念:“我的container是一个小的vps”,要知道还有其他的解决方案来处理需要SSH的问题

  评论这张
 
阅读(14894)| 评论(0)
推荐 转载

历史上的今天

在LOFTER的更多文章

评论

<#--最新日志,群博日志--> <#--推荐日志--> <#--引用记录--> <#--博主推荐--> <#--随机阅读--> <#--首页推荐--> <#--历史上的今天--> <#--被推荐日志--> <#--上一篇,下一篇--> <#-- 热度 --> <#-- 网易新闻广告 --> <#--右边模块结构--> <#--评论模块结构--> <#--引用模块结构--> <#--博主发起的投票-->
 
 
 
 
 
 
 
 
 
 
 
 
 
 

页脚

网易公司版权所有 ©1997-2016