ユーザーコンテナの起動に失敗しました。理由を見つける方法は？

Question

驚くべきことに、これがUbuntuだけの特徴であることがわかりました。

理由

問題：カーネルがcgroups有効になって（を使用して確認grep CGROUP /boot/config-$(uname -r)）cgmanager実行中ですが、私のユーザーには特定のcgroupがありません。以下で確認できます。

$猫/proc/self/cgroup
11: 巨大:/
10：パフォーマンスイベント：/
9:BLKIO://
8: フリーザー: /
7:装置:/
6: メモリ:/
5: CPUAcct://
4:CPU:/
3: 名前=システム:/
2:CPUグループ:/

関連するすべての行にUIDが指定されていても大丈夫ですが、cgroupが定義されていない場合は、各行の2番目のコロンの後にスラッシュが表示されます。

私の質問は、権限のないコンテナを起動することに関するものです。特権コンテナを起動できます。

私の問題は以下に関連していることがわかりました。lxc-usersメーリングリストのこのトピック。

治療

これはUbuntu 14.04のupstartデフォルト値ではありませんsystemd。そのため、systemdUbuntuベースのディストリビューションにインストールされている一部のコンポーネントはデフォルトでインストールされません。

これに加えて、cgmanager私の質問に示されているエラーを解決するには、2つのパッケージをインストールする必要がありましたcgroup-bin。libpam-systemd正直なところ、電子が必ず必要かどうか100％確信できないので、省略してここにコメントを残すこともできます。

パッケージをインストールして再起動すると、id -u出力にUID（、ここでは1000）が表示されます。

$猫/proc/self/cgroup
11:hugetlb:/user/1000.user/1.session
10:perf_event:/user/1000.user/1.session
9:blkio:/user/1000.user/1.session
8: フリーザー:/user/1000.user/1.session
7: デバイス:/user/1000.user/1.session
6: メモリ:/user/1000.user/1.session
5:cpuacct:/user/1000.user/1.session
4:cpu:/user/1000.user/1.session
3: 名前=systemd:/user/1000.user/1.session
2: CPU セット:/user/1000.user/1.session

その後、ゲストコンテナを起動しようとするとエラーが発生します（簡単にクリーンアップ）。

lxc-start 1420160065.383 情報 lxc_cgroup - test1 の cgroup ドライバ cgmanager 初期化中
lxc-start 1420160065.419エラーlxc_start - 設定されたネットワークを作成できません。
lxc-start 1420160065.446エラーlxc_start - 'test1'を生成できません。
lxc-start 1420160065.451 エラー lxc_start_ui - コンテナの起動に失敗しました。

まだ成功していませんが、成功に一歩近づきました。

上記リンクされたlxc-usersスレッドでは、および/etc/systemd/logind.conf3つのコントローラが言及されていないことを指摘します。私には最後の1つだけが落ちました。ただし、ログインセッションが作成されると変更が適用されるため、変更後に再度ログインする必要があります。net_clsnet_priodebug

LXCの作成者の1人によって作成されたこのブログ投稿は、次のステップを提供します。

ユーザーはuid 0で新しいユーザー名前空間を作成し、その名前空間にバインドされているリソースに対するいくつかのルート権限を持つことができますが、明らかにホストに対する追加権限は付与されません。

そのうちの1つは、新しいネットワークデバイスを作成するか、ホストのブリッジ構成を変更することです。この問題を解決するために、LXC 1.0の唯一のSETUIDバイナリ部分であり、簡単なタスクを実行するための「lxc-user-nic」というツールを作成しました。構成ファイルを解析し、その内容に基づいてユーザー用のネットワークデバイスを作成して接続します。悪用を防ぐために、ユーザーが要求できるデバイスの数とユーザーが追加できるブリッジを制限できます。

たとえば、私自身の/etc/lxc/lxc-usernetファイルがあります：
stgraber veth lxcbr0 10
これは、ユーザー「stgraber」が最大10個のveth型デバイスを作成し、それをlxcbr0というブリッジに追加できることを示します。

カーネルのユーザーネームスペースとsetuidツールによって提供される機能の間には、ほとんどのディストリビューションを無許可の方法で実行するために必要なものがすべてあります。

ユーザーにsudo権限があり、Bash を使用している場合は、次のコマンドを使用します。

echo "$(whoami) veth lxcbr0 10"|sudo tee -a /etc/lxc/lxc-usernet

そして、タイプ（veth）がコンテナ構成のタイプと一致していること、ブリッジ（lxcbr0）が構成および開始されていることを確認してください。

これで別のエラーセットが発生します。

lxc-start 1420192192.775 情報 lxc_start - 新しいユーザー名前空間の複製
lxc-start 1420192192.775 情報 lxc_cgroup - test1 の cgroup ドライバ cgmanager 初期化中
lxc-start 1420192192.923 注 lxc_start - 新しいユーザーの名前空間から gid/uid 0 に切り替えます。
lxc-start 1420192192.923エラーlxc_start - 許可が拒否されました - /home/userにアクセスできません。 「x」アクセス権を付与するか、コンテナルートにACLを追加してください。
lxc-start 1420192192.923エラーlxc_sync - 無効なシーケンス番号1。
lxc-start 1420192192.954エラーlxc_start - 'test1'を生成できません。
lxc-start 1420192192.959 エラー lxc_start_ui - コンテナの起動に失敗しました。

いいですね。この問題は解決できます。他のlxc-usersスレッド最初のスレッドと同じ主人公が道を磨きます。

現在、クイックテストがsudo chmod -R o+X $HOME必要ですが、ACLも実行可能なオプションです。 YMMV。

Answer 1