Início / unix / Perguntas / 771484
Accepted
x-yuri
Asked: 2024-03-03 02:06:30 +0800 CST

O Chromium não inicia no docker sem `xhost +local:`

  • 772
$ xhost
access control enabled, only authorized clients can connect

xtermfunciona:

$ docker run --rm -it --network host \
  --volume ~/.Xauthority:/root/.Xauthority:ro \
  --env DISPLAY \
  alpine:3.19 sh -euxc 'apk add xterm; exec xterm'

chromiumabre uma janela e parece receber pressionamentos de tecla, mas a janela está vazia ( output ):

$ docker run --rm -it --network host \
  --volume ~/.Xauthority:/root/.Xauthority:ro \
  --env DISPLAY \
  alpine:3.19 sh -euxc 'apk add chromium; exec chromium --no-sandbox'

Se eu permitir conexões locais, xhostele funcionará:

$ xhost +local:

$ xhost
access control enabled, only authorized clients can connect
LOCAL:

$ docker run --rm -it --network host \
  --volume ~/.Xauthority:/root/.Xauthority:ro \
  --env DISPLAY \
  alpine:3.19 sh -euxc 'apk add chromium; exec chromium --no-sandbox'

$ xhost -local:

Pode-se especular aqui que ele inicia processos não-root que não têm acesso /root/.Xauthoritye é por isso que falha. Então, sob qual usuário? Para que eu pudesse fornecer .Xauthoritya todos os interessados. Como faço para depurar isso? Como faço para que isso funcione?

docker

1 respostas

  1. Best Answer

    Não é exatamente uma resposta, mas provavelmente faz mais sentido rodar chromiumsem root:

    $ docker run --rm -it --network host \
  --volume ~/.Xauthority:/.Xauthority:ro \
  --env DISPLAY \
  alpine:3.19 \
  sh -euxc 'apk add chromium shadow
            useradd -m a
            cp .Xauthority /home/a
            chown a: /home/a/.Xauthority
            exec su - a -c "DISPLAY=\"$DISPLAY\" exec chromium --no-sandbox --no-first-run"'

    Ou melhor ainda (presumo que você esteja executando o PID 1000):

    Dockerfile:

    FROM alpine:3.19
RUN apk add chromium shadow && useradd -m a

    $ docker run --rm -it --network host \
  --volume ~/.Xauthority:/home/a/.Xauthority:ro \
  --env DISPLAY \
  -u 1000 \
  i chromium --no-sandbox --no-first-run

    Ou usando um chromiumperfil seccomp (criado em 2016), que nos permite evitar --no-sandbox:

    $ curl -O https://raw.githubusercontent.com/jessfraz/dotfiles/master/etc/docker/seccomp/chrome.json
$ docker run --rm -it --network host \
  --volume ~/.Xauthority:/home/a/.Xauthority:ro \
  --env DISPLAY \
  -u 1000 \
  --security-opt seccomp=chrome.json \
  i chromium --no-first-run

    O perfil seccomp foi retirado dessas respostas e aqui está a descrição de como ele foi criado.

    • 0

relate perguntas