winds.from.oz 技術メモ

Tag: Docker

日常CLIコンテナでhost UID/GIDに合わせてshellへ入る設計

Posted:   |   Tags: cli, container, docker, linux

日常CLIコンテナでhost UID/GIDに合わせてshellへ入る設計

目的

日常的に使う CLI tool をコンテナ image にまとめると、host の環境を壊さずに新しい tool や最新版を試せる。 一方で、作業ディレクトリを bind mount して shell に入る場合、コンテナ内ユーザーの UID/GID が host とずれると、作成ファイルの所有者が壊れる。

Dockerfile に個人の user name、UID、GID を焼かず、起動時に host user に合わせる。

shell wrapperとentrypointを分ける

責務を分ける。

shell wrapper:
  - host側で実行する
  - container runtimeを選ぶ
  - bind mountを組み立てる
  - hostのUID/GID/USER/HOMEを環境変数で渡す
  - containerは一度rootで起動する

entrypoint:
  - container内で実行する
  - hostと同じUID/GIDのuser/groupを作る
  - 必要な補助groupを設定する
  - 作業userへ権限を落としてcommandを実行する

この形にすると、image 自体は汎用のままにできる。 利用者ごとの UID/GID は runtime の入力として扱う。

Read more...

cli-tool-docker のイメージサイズ調査

Posted:   |   Categories: docker   |   Tags: docker, Dockerfile, Ubuntu

前提

cli-tool-docker は日常作業用の CLI をまとめたコンテナなので、単純なアプリ実行用イメージより大きくなる。 ただし Dockerfile の構造上、builder から成果物以外をコピーしてしまうと、マルチステージビルドの利点を失いやすい。

調査対象は Ubuntu 26.04 版のローカルビルド。

docker build --progress=plain -t cli-tool-docker:ubuntu-26.04-test .

実測値

削減前:

content size: 4.58GB
Docker 29 local disk usage: 18.1GB

削減後:

image id: 83cff82c6680
inspect Size: 2921887630 bytes
rootfs layer count: 30
content size: 2.92GB
Docker 29 local disk usage: 11.9GB

低リスクな layer 数削減後:

image id: d5d9b0068ed3
rootfs layer count: 25
Docker 29 local disk usage: 11.9GB

artifacts stage 集約後:

Read more...

dockerのネットワーク

Posted:   |   Categories: docker   |   Tags: docker, network

Rancher Desktopのネットワーク確認コマンド：

1. 基本的なネットワーク確認

Docker context確認（現在defaultを使用）

docker context ls

docker context ls
NAME              DESCRIPTION                               DOCKER ENDPOINT                             ERROR
default *         Current DOCKER_HOST based configuration   unix:///var/run/docker.sock
rancher-desktop   Rancher Desktop moby context              unix:///Users/<username>/.rd/docker.sock

macOSの場合は unix:///Users/<username>/.rd/docker.sock になる。

Rancher Desktopコンテキストに切り替え

docker context use rancher-desktop

ネットワーク一覧

docker network ls

2. Rancher Desktop特有のネットワーク情報

IPルーティング確認（rd0, rd1がRancher Desktop関連）

# Linux (Rancher DesktopのVM内で実行)
ip route show

ネットワークインターフェース確認

# Linux (Rancher DesktopのVM内で実行)
ip addr show

Rancher Desktopのネットワーク詳細

docker network inspect bridge

3. Lima VM情報（Rancher DesktopがLimaを使用している場合）

Lima VM一覧（利用可能な場合）

limactl list

Lima VM内からの確認（例: lima0の場合）

limactl shell lima0 -- nerdctl network ls

確認する事項としては：

Read more...

Gentoo distccd Docker

Posted:   |   Categories: Gentoo   |   Tags: distcc, docker, Gentoo

背景

Gentoo の Docker イメージが作りたい。が、

  1. オフィシャルの gentoo/stage3-amd64 の更新頻度が低い( 2021/08/08 時点で以前のアップデートが 1 年前だった )
  2. portage 用のイメージ gentoo/portageがあり、こちらは毎日更新されている。
  3. コマンドや glibc などが置かれているビルド済みの領域は gentoo/stage3-amd64 に置かれているため、実際に使うときには emerge –update –deep –newuse @world とリビルドが必要
  4. リビルドするとイメージのサイズがかなり増える

が、できればコンパクトなイメージにしたい。

結論(2021/08/17 時点)

docker-slimを使ってイメージをコンパクトにする方法が一番コンパクトになった。

手法サイズ備考
ダウンサイジング前3.04GB
不要なディレクトリの削除1.8GBemerge が一時的に使うファイル郡
(上記ディレクトリ削除に加えて)不要なパッケージの削除983MBパッケージ一覧を見ながら不要そうなパッケージを削除
docker-slim39MB

Dockerfile サンプル

ここに公開した

手法の比較

不要なディレクトリ削除は emerge が一時的に使うファイル郡を削除するだけなので安全に使える。

不要なパッケージの削除だが、これはパッケージ名の変更やパッケージ同士の依存関係の変更があると 必須ではないが、都度 Dockerfile の修正が必要になり長期間の運用を考えると、運用コストが上がる。

docker-slim を使った方法が一番コンパクトになった。ただ docker-slim は必要なファイルを動的に解析して必要なファイルのみを残すので、解析できるように準備する必要がある。

portage 用のイメージ gentoo/portageを使った方が良いのか?

RUN emerge –sync でも同様な事はできるので… と思ったが、毎回 emerge –sync に時間が取られるのは無駄。 もし「Docker のキャッシュで古い状態でビルドされるのが嫌だ」という場合でも、キャッシュを使わないオプションで docker build すれば最新の状態でビルドできる。

Read more...

cheatsheet/docker

Posted:   |   Categories: cheatsheet   |   Tags: cheatsheet, docker

やりたいことコマンド備考
Github Container Registry にログイン`echo $CR_PATdocker login ghcr.io -u exampleuser –password-stdin`環境変数 $CR_PAT にパーソナルアクセストークンが入っているものとする 参考
イメージのリストアップ`docker imagestac`
タグ付けdocker tag イメージID ghcr.io/exampleuser/genpi64-distcc-docker:latest
pushdocker push ghcr.io/exampleuser/genpi64-distcc-docker:latesthttps://github.com/[GithubのID]?tab=packages で docker レポジトリにアクセス可能
ポート開いて実行docker run -p 3632:3632 ghcr.io/exampleuser/genpi64-distcc-docker:latest
Read more...

cheatsheet/docker-slim

Posted:   |   Categories: cheatsheet   |   Tags: cheatsheet, docker, docker-slim

オプション効果
–state-pathdocker-slim の状態が保持されるパス、docker-slim コマンドが書き込めるパスにする
–target元のイメージ
–tagスリムになったイメージのタグ
–http-probeデフォルトは enable、ただ distcc の場合、HTTP ポートではないので false にしている
–execdocker-slim が動的にアプリケーションの振る舞いを解析する際に実行するシェルスクリプト

例

time docker build  . -t genpi64-distcc-large:latest
docker-slim --state-path ~/tmp/docker-slim build --target genpi64-distcc-large:latest --tag ghcr.io/exampleuser/genpi64-distcc-docker:latest --http-probe=false --exec "/need.bash"
docker push ghcr.io/exampleuser/genpi64-distcc-docker:latest

参考

オフィシャル

Read more...

docker

Posted:   |   Categories: docker   |   Tags: docker, Dockerfile

リファレンス

オフィシャル

Dockerfile の見直す時に参考にする場所

Dockerfile のベストプラクティス その 1 ) 下記以外にもあるが私が忘れやすいポイントだけ

  • .dockerignore ファイルを使う
  • レイヤの数を最小に
  • 複数行の引数 <= 引数はアルファベット順に
  • 構築キャッシュ <= docker build で –no-cache=true とすると既存キャッシュを使わない
  • CMD <= 常に CMD [“executable”, “param1”, “param2”…] のような形式で使うべきです。
  • WORKDIR <= 明確さと信頼性のため、常に WORKDIR からの絶対パスを使うべきです。
  • Distroless が使えないか検討する

その 2

  • LABEL <= ロジェクト内でのイメージ管理をしやすくしたり、ライセンス情報の記録や自動化の助けとするなど、さまざまな目的があります。

レイヤー削減の考え方

Dockerfile の layer を減らす時は、単純に RUN や COPY を結合すればよい、という話ではない。 layer 数を減らすと見た目はきれいになるが、巨大な layer にまとまると push/pull 時の差分再利用や、docker history での原因調査が悪くなることがある。

特に日常利用の CLI image のように、apt package、language runtime、npm global tool、クラウド CLI などを大量に含む image では、layer 数と image size は別の問題として扱う。

Read more...

docker-compose/セキュリティ関連

Posted:   |   Categories: docker   |   Tags: docker, security

Privileged（特権）ではない方法で、必要な分だけセキュリティを緩める

背景

Privileged(特権)を持った Docker コンテナは root 権限を備えたコンテナであり、 2021 年の Docker では Linux のセキュリティコンピューティングモード（secure computing mode; seccomp）と呼ばれる機構で制限がかけられている。 現在は 300 以上あるシステムコールのうち 44 が制限されている。

どのように制限をかけるか簡単に確認してみた。

環境

docker-compose の実行は Ubuntu Studio 21.04 コンテナは gentoo/stage3-amd64

docker-compose.yml に追加
  1. 制限する profile.json の雛形をダウンロード
  2. 雛形を修正
  3. docker-compose.yml 修正
  4. docker-compose を起動し直し

手順

wget https://raw.githubusercontent.com/moby/moby/master/profiles/seccomp/default.json

default.json を確認する。このリストはホワイトリストで、このリストに含まれていない場合、ブロックされる。 つまり「何か権限が足りない場合」、「このリストに追加」したい。

ただ 2021/08/04 に確認した所、 CAP_SYS_PTRACE に process_vm_readv は追加されていたので、 一旦、修正は加えず、 profile.json を持ちいて起動するように docker-compose.yml を修正して起動する。

docker-compose の修正

version: "3"
services:
  distcc:
    build:
      context: ./
    container_name: 'distcc'
    security_opt:                     # <= security_opt を追加
      - seccomp:default.json          # <= docker-compose.ymlと同じディレクトリにjsonファイルを置いた
    command: >
      bash -c "/bin/bash"
    volumes:
      - ./make.conf:/etc/portage/make.conf
発生していたエラー
/var/tmp/portage/sys-libs/glibc-2.33-r1/work/build-x86-x86_64-pc-linux-gnu-nptl/elf/sln /var/tmp/portage/sys-libs/glibc-2.33-r1/work/build-x86-x86_64-pc-linux-gnu-nptl/elf/symlink.list
 * /var/tmp/portage/sys-apps/sandbox-2.18/work/sandbox-2.18/libsandbox/trace.c:do_peekstr():134: failure (Operation not permitted):
 * ISE:do_peekstr:process_vm_readv(104259, 0x00007ffe29debd20{0x00007fd68a110010, 0x535}, 1, 0x00007ffe29debd30{0x00000000ff9a1acb, 0x535}, 1, 0) failed: Operation not permitted
/bin/sh: line 1: 89178 Aborted                 make -r PARALLELMFLAGS="" -C /var/tmp/portage/sys-libs/glibc-2.33-r1/work/glibc-2.33 objdir=`pwd` install

↑ この ↓ の部分が気になる

Read more...

cheatsheet/docker-compose

Posted:   |   Categories: cheatsheet   |   Tags: cheatsheet, docker, docker-compose

便利な

Docker Compose V2 では docker compose を使う。古い環境では docker-compose の場合があるが、新規手順では docker compose を優先する。

オプション効果
imagesイメージ一覧
logsログ
port web 3000ポート表示
buildYAML に「build:」があれば、そのイメージをまとめてビルド
pullYAML に「image:」があれば、そのイメージをまとめてプル
up -dpull して build してからデーモンとして まとめて起動
up -d hogehoge と依存するデーモン だけ を起動
stopまとめて終了
rmまとめて削除

キャッシュ使わないでビルド

docker compose build --no-cache

既存のコンテナを作り直す

docker compose up --force-recreate minecraft-touhou

参照

docker-compose コマンドまとめ - Qiita

docker-compose を使うと複数コンテナの管理が便利に - Qiita

Docker Compose - docker-compose.yml リファレンス - Qiita

Read more...

AWS ECR へCLIでイメージをアップする

Posted:   |   Categories: AWS   |   Tags: aws-cli, docker, ECR

dockerコンテナをECR repository( 以下、ECR )にアップする

まず、Web UIにログインした後、上部メニューの[ サービス ]->[ Elastic Container Registry ]->[ リポジトリ ]->[ リポジトリの作成 ] からリポジトリを作成する。

リポジトリ名

『リポジトリ名は英字で始まる必要があり、小文字、数字、ハイフン、アンダースコア、スラッシュのみを含めることができます。』というルールがある。 スラッシュがつけられるので、組織名をつけた。Githubのレポジトリ名は大文字を許容するが、ECRは許容しないので小文字に変更する。

example/Hoge_Web -> example/hoge_web

AWS CLIがインストールされていなければインストールして、アカウント設定する

ECRへのアクセス設定をする

( これはリポジトリ作成時に説明が表示されます。一度、空のリポジトリを作成すると流れがより良く分かるかもしれません )

ECRにログインする

aws ecr get-login-password --region ap-northeast-1 | docker login --username AWS --password-stdin 123456789012.dkr.ecr.ap-northeast-1.amazonaws.com

上記コマンドはそのまま実行できる形なので、出力を別途実行する必要はありません。

Dockerイメージをビルドする

カレントディレクトリにあるDockerfileを用いてイメージ作成。Dockerfileにある場所に移動してから docker buildする。

docker build -t example/hoge_api .

イメージにタグを付ける

docker tag example/hoge_api:latest 123456789012.dkr.ecr.ap-northeast-1.amazonaws.com/example/hoge_api:latest

Dockerレポジトリを作成

aws ecr create-repository --region us-east-1 --repository-name hoge

実行例。 これは2017/12に出たばかりの fargateモードで検証するため、バージニア北部リージョンにレポジトリを作成している

Read more...