Просмотр исходного текста страницы Система управления контейнерами LXD (Денис Пынькин, OSSDEVCONF-2016)

== Аннотация ==
;Докладчик: {{Speaker|Денис Пынькин}}
<blockquote>
* Обзор современного состояния проекта Linux Containers project: LXC, LXD, LXCFS.

* Установка и настройка LXD для ALT Linux, с примером создания сервера с помощью mkimage.

* Использование LXC/LXD в качестве легковесной замены виртуальной машины при разработке ПО.
</blockquote>

== Видео ==

{{vimeoembed|185219720|800|450}}
{{youtubelink|CkhiBgP9nEc}}{{letscomment}}

== Слайды ==
[[File:Система управления контейнерами LXD (Денис Пынькин, OSSDEVCONF-2016).pdf|left|page=-|256px]]

{{----}}

== Расширенные тезисы ==
<latex>
\section{Введение}

Проект Linux Containers (\url{https://linuxcontainers.org}) уже долгое
время занимается развитием набора утилит \Sys{LXC}, позволяющего управлять
локальными контейнерами. При этом, основное отличие \Sys{LXC} от других подобных
систем, это создание и управление контейнерами уровня операционной системы\cite{lxctutorial}.

В связи со взрывным ростом использования контейнеров в облачных средах,
активно развиваются и системы управления контейнерами, такие как
\Sys{Docker}, поэтому логичным шагом для проекта Linux Containers было
создание своей системы управления \Sys{LXD}, которая позволяет унифицировать
управление множеством контейнеров \Sys{LXC} на разных хостах.

В докладе рассказывается о настройке и использовании \Sys{LXD}\cite{lxdtutorial},
основываясь на опыте пакетирования проекта для ОС ALT Linux и портирования среды разработки
коммерческого проекта в контейнер \Sys{LXC}.

\section{Состав проекта}

Проект состоит из 3 подпроектов:
\begin{itemize}
    \item \Sys{LXC} --- ядро системы, обеспечивающее низкоуровневое управление
    контейнерами;
    \item \Sys{LXD} --- <<высокоуровневая>> часть системы управления, предоставляющая
    единообразное API управления, а также утилиты командной строки;
    \item \Sys{lxcfs} --- файловая система на базе FUSE, <<скрывающая>> реальные
    подсистемы \Sys{procfs}, \Sys{sysfs} и \Sys{cgroupfs}, изолируя доступ к ним
    от программ,  работающих внутри контейнеров.
\end{itemize}

\section{Установка LXD}
Установка \Sys{LXD}:
\begin{verbatim}
apt-get install lxd
\end{verbatim}

В результате будут установлены 2 программы для управления \Sys{LXC}-контейнерами, написанные на
языке Go --- \Sys{lxd} и \Sys{lxc}, демон и клиент соответственно.

Вместе с \Sys{LXD} будут установлены необходимые подпроекты, а также их зависимости:
\begin{itemize}
    \item lxcfs
    \item LXC
\end{itemize}

Требования:
\begin{itemize}
    \item пакет \Sys{shadow-submap} --- \Sys{subuid} и \Sys{subgid} для
          корректной работы непривилегированных контейнеров;
    \item \Sys{criu} --- библиотека и утилиты для сохранения и
        восстановления контейнера, позволяющая, в том числе, организовать
        <<живую>> миграцию между хостами.
\end{itemize}

Для понижения привилегий пользователя \Sys{root} используется
механизм ядра \Sys{Linux user namespaces}, для чего настраивается
список подчиненных идентификаторов пользователя и групп.
Эти идентификаторы используются чтобы установить соответствие пользователя
внутри контейнера с реальным пользователем.

Так, чтобы пользователь \Sys{root} внутри контейнера имел реальный UID,
отличный от '0', необходимо добавить соответствие
подчиненных идентификаторов пользователя и групп:

\begin{frame}{Непривилегированный root}

\begin{verbatim}
usermod -v 100000-165535 -w 100000-165535 root
\end{verbatim}

Таким образом <<\Sys{root}>> внутри контейнера будет иметь UID и GID равными '0',
но из-вне контейнера все процессы такого <<администратора>> будут принадлежать
пользователю и группе из заданного диапазона.
\end{frame}

Такое соответствие эффективно изолирует пользователя контейнера от возможностей,
предоставляемых хостовой операционной системой пользователю \Sys{root}, обеспечивая
повышенную защищенность хостовой ОС от контейнера.

\subsection{Дисковое пространство}

\Sys{LXD} поддерживает различные хранилища для контейнеров, начиная от \Sys{LVM}
и заканчивая файловыми системами \Sys{btrfs} и \Sys{ZFS}, которые позволяют
значительно ускорить создание новых контейнеров, а также сохранение и восстановление
снэпшотов систем.

Хотя использование <<классических>> файловых систем допускается, но и эффективность работы со
множеством однотипных контейнеров тоже падает. Для таких случаев предлагается воспользоваться
скриптом \Sys{lxd-setup-lvm-storage} для создания файла-образа для организации дискового
хранилища LVM.

\subsection{Сеть}

Поскольку \Sys{LXD} является, по сути, управляющей системой контейнерами \Sys{LXC},
то и сеть можно организовать по-разному, начиная от выделения контейнеру
физического интерфейса и заканчивая рекомендуемым режимом с организацией
виртуального моста (bridge).

Такой мост можно как создать и сконфигурировать самостоятельно, так и положиться на
сервис-скрипт \Sys{lxd-bridge} --- в обоих случаях достаточно добавить несколько строчек в
системный файл конфигурации \Sys{LXD}: \Sys{/etc/sysconfig/lxd-bridge}.

\subsection{Пользовательская конфигурация}
Локальная конфигурация пользователя находится в:
\begin{verbatim}
~/.config/lxc
\end{verbatim}
и включает в себя ключ и сертификат пользователя,
а также настройки подключения к удаленным серверам \Sys{LXD}.

\section{Системные образы}

Одной из основных проблем, которые решает \Sys{LXD} является
централизованное управление образами контейнеров.

Для старых версий \Sys{LXC} созданием контейнера по сути занимались
отдельные скрипты-темплейты, которые не отличаются однообразием и
пишутся отдельно для каждого дистрибутива.

При проектировании \Sys{LXD} было решено уйти от такой практики и
использовать хранилище готовых образов (по сути архив rootfs),
подготовить которые можно даже вручную.

Такой образ представляет собой готовую к разворачиванию систему,
а также описание как самого образа системы, так и действий,
которые необходимо произвести при создании или запуске
контейнера --- модифицировать файл \Sys{/etc/hosts}, например.

Типы образов:
\begin{itemize}
    \item \Sys{unified} --- все в одном, хорошо подходит
        для распространения готового продукта;
    \item \Sys{split} --- раздельно metadata и rootfs, что очень
        удобно при разработке.
\end{itemize}

\section{Конфигурация контейнера}

Каждый контейнер использует свою собственную конфигурацию с описанием
\Sys{LXC}-контейнера: имя, описание, какие устройства необходимо подключить и
какие привилегии есть у контейнера. Кроме того можно использовать и низкоуровневое
описание lxc-контейнеров, аналогичное для <<классических>> контейнеров \Sys{LXC}.

Для однотипных контейнеров можно использовать профили, которые можно
указать при создании контейнера, либо добавить позднее, с помощью команды
\Sys{lxc profile apply ...}. Такой профиль является аналогом <<include>> для описания
контейнера, так что все элементы описанные в профиле включаются в описание
самого контейнера, позволяя хранить общие настройки в одном месте.

Неполный пример профиля, выполняющий специфическую настройку для одного проекта,
в котором указано, что:
\begin{itemize}
    \item контейнер будет привилигированным
    \item с полным доступом к \Sys{procfs}, \Sys{cgroupfs}
        и частично ограниченным на запись к \Sys{sysfs}
    \item без автоматически добавляемой системы \Sys{devfs}
    \item разрешением на загрузку модулей ядра \Sys{loop} и \Sys{tun}
    \item одним сетевым интерфейсом, подключенным к локальному мосту
    \item пробрасыванием директории \Sys{/lib/modules} в контейнер
        в R/O режиме (для загрузки модулей от текущего ядра)
    \item вместо \Sys{init} при запуске будет использоваться свой
        собственный shell-скрипт \Sys{/sbin/lxcinit}
\end{itemize}

\begin{verbatim}
name: customername
config:
  linux.kernel_modules: loop,tun
  raw.lxc: |
    lxc.init_cmd = /bin/bash /sbin/lxcinit
    lxc.mount.auto = proc:rw sys:mixed cgroup:rw
    lxc.autodev = 0
    # tun
    lxc.cgroup.devices.allow = c 10:200 rwm
    # loop for images creation
    lxc.cgroup.devices.allow = b 7:* rwm
  security.nesting: "true"
  security.privileged: "true"
description: ""
devices:
  eth0:
  name: eth0
  nictype: bridged
  parent: lxcbr0
  type: nic
modules:
  path: /lib/modules
  readonly: "true"
  source: /lib/modules
  type: disk
\end{verbatim}

\subsection{Пример создания контейнера}

Создание профиля из файла описания, приведенного выше:

\begin{verbatim}
lxc profile create customername
cat profile.yaml | lxd profile edit customername
\end{verbatim}

Пример минимального файла-описания \Sys{metadata.yaml}:
\begin{verbatim}
architecture: "x86_64"
creation_date: 1470920887
properties:
  architecture: "x86_64"
  description: "Custom development image"
  os: "fedora"
  release: "1.2.3"
templates:
\end{verbatim}

Создание образа для тестирования в формате \Sys{split}:
\begin{verbatim}
tar -czf custom.tar.gz metadata.yaml
tar -C <путь к корню> -czf rootfs.tar.gz .
\end{verbatim}

Импортирование образа в \Sys{LXD} с присвоением ему уникального имени <<\Sys{imagename}>>:
{\small
\begin{verbatim}
lxc image import custom.tar.gz rootfs.tar.gz --alias imagename
\end{verbatim}
}

Создание и запуск нового контейнера <<\Sys{name}>>,  созданного из
образа <<\Sys{imagename}>> с конфигурацией, указанной в профиле <<\Sys{customername}>>:
\begin{verbatim}
lxc launch imagename name -p customername
\end{verbatim}

\section{LXD в ALT Linux}

В дистрибутиве ALT Linux доступны пакеты со всеми необходимыми компонентами для
установки \Sys{LXD}. Для тестирования работы \Sys{LXD} в чистом окружении,
а также для образовательных целей\cite{ldcepam}, был разработан минимальный сервер, работающий,
как Live-система.

Благодаря штатному средству создания дистрибутива \Sys{mkimage- profiles}\cite{mkimage}, создание
такого <<кастомного>> образа свелась к правильному конфигурированию списка пакетов, запускаемых сервисов,
а также определению сети для контейнеров с использованием \Sys{lxd-bridge}.

Исходный код для сервера можно найти по адресу (бранч \Sys{lxd}):
\url{http://git.altlinux.org/people/dans/packages/?p=mkimage-}\newline \Sys{profiles.git;a=tree;h=refs/heads/lxd;hb=lxd}

\begin{thebibliography}{9}
\bibitem{lxctutorial} \emph{Stéphane Graber} LXC 1.0: Blog post series
    \url{https://www.stgraber.org/2013/12/20/lxc-1-0-blog-post-series/}
\bibitem{lxdtutorial} \emph{Stéphane Graber} LXD 2.0: Blog post series
    \url{https://www.stgraber.org/2016/03/11/lxd-2-0-blog-post-series-012/}
\bibitem{ldcepam} \emph{Открытый проект} Linux development courses project
    \url{https://github.com/epam-llpd/linux_courses/}
\bibitem{mkimage} \emph{Michael Shigorin} mkimage-profiles: долгая дорога в 0.9.x
    \url{https://lvee.org/en/abstracts/63}
\end{thebibliography}
</latex>

== Примечания и отзывы ==
<!-- <blockquote>[©]</blockquote> -->

{{fblink|1782222175364129}}                                          
{{vklink|215}}                                          
<references/>
[[File:{{#setmainimage:Система управления контейнерами LXD (Денис Пынькин, OSSDEVCONF-2016)!.jpg}}|center|640px]]




{{stats|disqus_comments=0|refresh_time=2021-08-31T18:23:17.527255|vimeo_comments=0|vimeo_plays=82|youtube_comments=0|youtube_plays=79}}

[[Категория:OSSDEVCONF-2016]]
[[Категория:Open-source projects]]
[[Категория:Виртуализация]]