☰

権限のないLinuxコンテナを構成する方法は？

tag-icon • tag-icon arch-linux lxc
権限のないLinuxコンテナを構成する方法は？

設定しようとしています。権限のないLXCコンテナそして毎回失敗します。私はガイドのすべての関連するステップに従ったと思います。

  • 一般ユーザーは、権限のないコンテナを作成できます。

    $ sysctl kernel.unprivileged_userns_clone
kernel.unprivileged_userns_clone = 1

  • 制御グループPAMモジュールが有効になっています。

    $ grep -F pam_cgfs.so /etc/pam.d/system-login
session optional pam_cgfs.so -c freezer,memory,name=systemd,unified

  • UIDとGIDのマッピングを設定します。

    $ cat /etc/lxc/default.conf
lxc.idmap = u 0 100000 65536
lxc.idmap = g 0 100000 65536
lxc.net.0.type = veth
lxc.net.0.link = lxcbr0
lxc.net.0.flags = up
lxc.net.0.hwaddr = 00:16:3e:xx:xx:xx
$ cat /etc/subuid
root:100000:65536
$ cat /etc/subgid
root:100000:65536

  • ネットワークが設定されました：

    $ grep --invert-match --regexp='^#' --regexp='^$' /etc/default/lxc-net
USE_LXC_BRIDGE="true"
LXC_BRIDGE="lxcbr0"
LXC_ADDR="10.0.3.1"
LXC_NETMASK="255.255.255.0"
LXC_NETWORK="10.0.3.0/24"
LXC_DHCP_RANGE="10.0.3.2,10.0.3.254"
LXC_DHCP_MAX="253"

  • サービスがよさそうです。

    $ systemctl status --lines=0 --no-pager lxc.service lxc-net.service 
● lxc.service - LXC Container Initialization and Autoboot Code
   Loaded: loaded (/usr/lib/systemd/system/lxc.service; disabled; vendor preset: disabled)
   Active: active (exited) since Fri 2019-03-08 15:31:47 NZDT; 40min ago
     Docs: man:lxc-autostart
           man:lxc
 Main PID: 4147 (code=exited, status=0/SUCCESS)
    Tasks: 0 (limit: 4915)
   Memory: 0B
   CGroup: /system.slice/lxc.service

● lxc-net.service - LXC network bridge setup
   Loaded: loaded (/usr/lib/systemd/system/lxc-net.service; enabled; vendor preset: disabled)
   Active: active (exited) since Fri 2019-03-08 15:31:45 NZDT; 40min ago
 Main PID: 4099 (code=exited, status=0/SUCCESS)
    Tasks: 1 (limit: 4915)
   Memory: 8.4M
   CGroup: /system.slice/lxc-net.service
           └─4121 dnsmasq -u dnsmasq --strict-order --bind-interfaces --pid-file=/run/lxc/dnsm…
  • パッケージが最新の状態で、再起動しました。

それにもかかわらず、コンテナを作成することはできません。

$ lxc-create -n test -t download
lxc-create: test: parse.c: lxc_file_for_each_line_mmap: 100 No such file or directory - Failed to open file "/home/user/.config/lxc/default.conf"
lxc-create: test: conf.c: chown_mapped_root: 3179 No uid mapping for container root
lxc-create: test: lxccontainer.c: do_storage_create: 1310 Error chowning "/home/user/.local/share/lxc/test/rootfs" to container root
lxc-create: test: conf.c: suggest_default_idmap: 4801 You do not have subuids or subgids allocated
lxc-create: test: conf.c: suggest_default_idmap: 4802 Unprivileged containers require subuids and subgids
lxc-create: test: lxccontainer.c: do_lxcapi_create: 1891 Failed to create (none) storage for test
lxc-create: test: tools/lxc_create.c: main: 327 Failed to create container test

この設定に明らかな問題はありますか？~/.config/lxc/default.confはリンクされた記事に言及されておらず、なぜ割り当てられたsubuidとsubgidがないと言うのか理解できません。

追加情報：

  • rootとして実行するとlxc-create機能しますが、これは明示的に通常のユーザーとしてコンテナを作成することです。

  • cp /etc/lxc/default.conf ~/.config/lxc/default.conf構成ファイルに関する苦情は削除されますが、次のメッセージが表示されます。

    lxc-create: 再生時間: conf.c: chown_mapped_root: 3279 lxc-usernsexec 失敗: 対応するファイルまたはディレクトリなし - tty を開けません 該当ファイルまたはディレクトリなし - tt を開けません

ベストアンサー1

これは新しいプロジェクトですか、それともオプションはありますか？ LXCの代わりにLXDを使うのはどうですか？使いやすく、同じ目的を達成できます。私はlxcを使い始めましたが、非特権コンテナの実行に興味があり、急速に切り替えました。これはLXCでは簡単ではありませんが、LXDではデフォルトです。

始めるにはここを見てください。 https://discuss.linuxcontainers.org/t/comparing-lxd-vs-lxc/24

最後に、インストール/使用してから数ヶ月が経過しましたが、インストールに関する注意事項は次のとおりです。

LXDは非常に急速に発展しているので、UbuntuユーザーはPPAを使用することをお勧めします。

# add-apt-repository ppa:ubuntu-lxc/lxd-stable
# apt-get update
# apt-get dist-upgrade
# apt-get install lxd

このパッケージは、ローカルUnixソケットを介してlxdと通信できるすべてのユーザーを含む新しい「lxd」グループを作成します。 「admin」および「sudoers」グループのすべてのメンバーが自動的に追加されます。ユーザーがこれらのグループの1つのメンバーではない場合は、ユーザーをグループに手動で追加する必要がありますlxd 。

グループメンバーシップはログイン時にのみ適用されるため、ユーザーセッションを閉じて再度開くか、newgrp lxd lxdと対話したいシェルでコマンドを使用する必要があります。

newgrp lxd

https://blog.ubuntu.com/2015/03/20/installing-lxd-and-the-command-line-tool 2018/10/22

私が知っている限り、仮想マシンでLXDを実行することもできるので、作業中のシステムを台無しにすることなくすばやく試すことができます。

あなたが要求した質問に対する正確な答えではありませんが、有用なオプションになったことを願っています。

おすすめ記事