rootless模式是指以非root用户身份运行Docker守护程序和容器。那么为什么要有rootless mode呢?因为在root用户下安装启动的容器存在安全问题。存在的安全问题具体来说是容器内的root用户就是宿主机的root用户,容器内uid=1000的用户就是宿主机uid=1000的用户,docker的守护进程是root权限的。所以我们有时候需要安装docker rootless来减轻守护程序和容器运行时中的潜在漏洞。
无根模式在用户命名空间内执行docker daemon(docker守护进程)和容器,这与userns remap模式非常相似。只是在userns remmap模式下,守护进程本身以root权限运行,而在无根模式下,后台进程和容器都在没有root权限的情况下运行。
rootless 模式利用 user namespaces 将容器中的 root 用户和 docker 守护进程(dockerd)用户映射到宿主机的非特权用户范围内。
docker的守护进程(docker daemon)是docker的主要后台进程,它负责运行docker容器、管理docker镜像、网络和数据卷等。
具体来说,docker的守护进程有以下几方面的作用:
总之,docker的守护进程是docker运行的核心,它为用户提供了快速、高效、安全的容器化解决方案。
systemd是用于管理docker守护进程的服务单元。具体来说,docker的systemd服务单元会在系统启动时自动启动docker守护进程,并监视它的运行状态。如果docker守护进程意外终止,systemd将自动重新启动它。此外,systemd还允许用户通过systemctl命令来管理docker守护进程的状态,例如查看其运行状态、重启和停止等操作。(systemctl start docker 启动docker守护进程)
总之,docker的systemd是docker运行和管理的重要组成部分,它为用户提供了稳定、可靠的docker守护进程管理和监控机制。
官方文档:Run the Docker daemon as a non-root user (Rootless mode) | Docker Docs
操作系统:Centos7.7.1908
创建一个普通用户
useradd -m -s /bin/bash testuser
需要安装newuidmap
和newgidmap
工具,配置/etc/subuid
和/etc/subuid
需要这两个工具的支持。安装之前使用yum install -y uidmap
确认下是否已经安装过或者操作系统自带,如果存在就不要安装了。
说明已经存在了
在/etc/suubid
和/etc/subid
中应至少包含用户的65536个从属UID/GID。下面示例中,用户testuser有65536个从属UID/GID。
id -u
whoami
grep ^$(whoami): /etc/subuid
grep ^$(whoami): /etc/subgid
root用户下也可以通过以下命令确保用户id关系配置
echo "testuser:100000:65536" | tee /etc/subuid
echo "testuser:100000:65536" | tee /etc/subgid
至此,前置配置准备完毕
在/etc/sysctl.conf或/etc/sysctl.d
文件中修改系统参数user.max_user_namespaces = 28633
,修改完成之后执行sysctl --system
命令让参数生效。
echo user.max_user_namespaces=28633 >> /etc/sysctl.d/userns.conf
sysctl -p /etc/sysctl.d/userns.conf
该参数默认值是0,即不允许操作系统用户存在subuid空间。
在Citrix中/proc/sys/user/max_user_namespaces也要修改为28633。
接下来需要安装脚本,有两种方案:
一.在新建的用户testuser下,执行以下安装脚本,该方案安装脚本需要连网。
curl -fsSL https://get.docker.com/rootless | sh
脚本执行完成之后,显示的内容如下:
二.进入https://get.docker.com/rootless该网站将内容全部copy到linux文件中,然后执行。本文新建了一个docker.sh的文件,把内容全部都复制到该文件下了
执行 export SKIP_IPTABLES=1,然后重新执行 sh docker.sh
将上图中安装过程提示的export内容添加到 $HOME/.bashrc 文件中,添加完使用source
$HOME/.bashrc 命令使环境变量生效。注意:你的环境变量和我的一定不一致,要copy上图中红色部分。
[testuser@fe2314d04cbd ~]$ cat >>$HOME/.bashrc<<'EOF'
> export PATH=/home/testuser/bin:$PATH
> export DOCKER_HOST=unix:///run/user/1000/docker.sock
> EOF
[testuser@fe2314d04cbd ~]$ source $HOME/.bashrc
在testuser用户下使用下面的脚本启动docker守护进程,该脚本在上文中的环境变量PATH目录下,所以我们不用写全路径。注意:我们这里使用了 --experimental --storage-driver vfs
参数启动,linux内核版本会影响存储驱动选择,后文会进行说明。
dockerd-rootless.sh --experimental --storage-driver vfs
首先,通过which ip看一下
接着yum install which下载which包,在which ip看一下
接着通过yum install iproute下载一下,再通过which ip看一下
这样问题就解决了
之后通过dockerd-rootless.sh --experimental --storage-driver vfs启动docker守护进程,如下图所示,docker的守护进程就已经启动了:
上面已经介绍了,docker的守护进程是docker的核心,必须启动守护进程docker才能正常工作,由于本文docker配置是没有systemd的,因此不能通过systemctl启动守护进程,因此docker要想正常工作,只能在一个终端启动当前docker的守护进程,另一个终端执行docker指令,docker才能正常工作。
如下图所示,在一个终端启动docker守护进程的前提下,另一个终端可以正常执行docker指令
至此,docker rootless配置完成。
虽然它很安全,但是存在以下受限因素
目前仅支持以下存储驱动程序:
在进行本文操作过程中, 还使用了如下命令以及遇到以下问题
1.查看当前系统的内核版本
uname -r
cat /proc/version
以上两条命令都可以
2.如果一个进程退不出去,就可以在另一个终端通过执行以下命令终止该进程
- ps auxw |grep dockerd
- kill -9
执行kill -9 -419就可以杀死该进程
3.修改/proc/sys/user/max_user_namespaces为28633,进入/proc/sys/user/目录下,通过vim直接修改max_user_namespaces,发现不能操作,然后修改max_user_namespaces的权限信息也不能修改。原因:
centos7 的user当前是 dr-xr-xr-x , 没有写的权限,所以不能对当前user下的任何文件进行修改,而chmod和vim 都需要 /proc/sys/user 写的权限,所以执行不到。因此需要通过echo 28633 > /proc/sys/user/max_user_namespaces来修改。
4.yum provides /usr/sbin/ip 命令的作用是查找并安装包含 /usr/sbin/ip
文件的软件包。yum provides 是一个 yum 命令的子命令,用于查找与给定文件匹配的软件包。在这种情况下,命令是在询问 yum 是否有一个软件包包含 /usr/sbin/ip
文件。如果 yum 找到了匹配的软件包,它会尝试安装该软件包,以便 /usr/sbin/ip
文件可以在您的系统中使用。这通常用于确保系统上的特定文件存在并已正确安装。
5.在安装无根Docker时,需要确保/etc/subuid
文件包含至少65536个UID,这是因为Docker使用子用户命名空间来实现无根功能。
子用户命名空间是一种隔离技术,它允许在一个命名空间内创建独立的用户、进程和文件系统视图。在Docker中,通过使用子用户命名空间,容器可以拥有自己的独立的主用户(root)和子用户(sub-user)ID空间。
当Docker创建一个新的容器时,它会在子用户命名空间内为容器创建一个新的用户ID(UID)。为了使容器能够访问外部文件系统和网络等资源,Docker需要将容器的UID映射到主机上的真实UID。
然而,由于子用户命名空间的限制,只有范围内的UID可以被映射。默认情况下,每个用户在/etc/subuid
文件中都有一组可用的UID范围。如果该文件没有包含足够多的UID范围,那么在创建大量容器时,可能会出现UID耗尽的情况,因为每个容器都需要一个唯一的UID。
因此,为了确保Docker能够创建足够多的容器并避免UID耗尽的问题,建议在安装无根Docker时,将/etc/subuid
文件扩展到包含至少65536个UID范围。这样可以提供足够的UID空间来满足容器的需求,并且可以避免因为UID耗尽而导致的容器创建失败的问题。