问题[docker](server)

最近，我在我的 Ubuntu 机器上从官方网站安装了最新版本的 Docker 和 Docker Compose。使用后，docker-compose config我得到了以下输出：

name: docker
services: {}

我也尝试过docker-compose config --services，但没有输出，尽管docker-compose config --profiles在 Compose 文件中列出了配置文件。如果我尝试使用该命令运行所有服务docker-compose up -d，它会显示“未选择服务”。

我已将当前用户添加到 docker 组，并尝试使用root用户执行相同的命令，但没有用。

ubuntu@my-ec2-server$ docker --version
Docker version 28.0.4, build b8034c0
ubuntu@my-ec2-server$ docker-compose --version
Docker Compose version v2.34.0

这是我的docker-compose.yml文件：

services:

################################| Utility |################################

  utility:
    build:
      context: ./utility
      dockerfile: Dockerfile
    image: utility:latest
    container_name: utility
    profiles: ["utility","all"]
    volumes:
      - ./utility/certs:/app/certs
      - ./utility/secrets:/app/secrets
    ports:
      - 3001:3000
    env_file:
      - ./.env/.utility.env


################################| Reports |################################

  reports:
    build:
      context: ./analytics_reports
      dockerfile: Dockerfile
    image: reports:latest
    container_name: reports
    profiles: ["reports","all"]
    ports:
      - 3002:3000
    env_file:
      - ./.env/.reports.env

################################| Backend API |################################

  supplier-backendapi:
    build:
      context: ./backend_api-supplier
      dockerfile: Dockerfile
    image: supplier_configuration:latest
    container_name: api-supplier
    profiles: ["backend-api","all"]
    ports:
      - 3003:3000
    env_file:
      - ./.env/.supplier.env

  voucher-backendapi:
    build:
      context: ./backend_api-voucher
      dockerfile: Dockerfile
    image: voucher:latest
    container_name: api-voucher
    profiles: ["backend-api","all"]
    ports:
      - 3004:3000
    env_file:
      - ./.env/.voucher.env

我收到了 Victoria Risk [email protected]的通知

新的 BIND 版本可用：9.18.35、9.20.7、9.21.6

在我提取最新的图像后，bind9 现在无法启动，因为出现以下新错误：

$ docker compose up
[+] Running 2/1
 ✔ Network bind_bind  Created                                                                                                                                                                                                                                                            0.2s
 ✔ Container bind9    Created                                                                                                                                                                                                                                                            0.0s
Attaching to bind9
bind9  | named: setgid(): Operation not permitted
bind9 exited with code 1
$ 

在提取最新的图像之前，bind9 工作得很好。

我的环境：

$ uname -a
Linux gamma 6.1.0-26-amd64 #1 SMP PREEMPT_DYNAMIC Debian 6.1.112-1 (2024-09-30) x86_64 GNU/Linux
$ docker --version
Docker version 27.3.1, build ce12230
$ docker compose version
Docker Compose version v2.29.7
$

我的docker-compose

$ cat docker-compose.yml
services:
  bind:
    image: internetsystemsconsortium/bind9:9.20
    container_name: bind9
    env_file: .env
    expose:
      - 80
      - 443
      - 853
    networks:
      - default
    ports:
      - 0.0.0.0:53:53/udp
      - 0.0.0.0:53:53/tcp
      - 0.0.0.0:443:443/tcp
      - 0.0.0.0:853:853/tcp
      - 127.0.0.1:953:953/tcp
    restart: always
    volumes:
      - ./etc/bind:/etc/bind
      - ./var/cache/bind:/var/cache/bind
      - ./var/lib/bind:/var/lib/bind
      - ./var/log:/var/log

networks:
  default:
    name: bind_bind
    driver: bridge

$

named.conf：

$ cat ./etc/bind/named.conf
# Use with the following in named.conf, adjusting the allow list as needed:
key "rndc-key" {
    algorithm hmac-sha256;
    secret "XYZ";
};
#
controls {
    inet 127.0.0.1 port 953
        allow { 127.0.0.1; } keys { "rndc-key"; };
};
# End of named.conf

logging {
        channel stdout {
                stderr;
                severity debug;
#                severity info;
                print-category yes;
                print-severity yes;
                print-time yes;
        };
        category security { stdout; };
        category dnssec   { stdout; };
        category default  { stdout; };
        category queries  { stdout; };
};

tls local-tls {
    key-file "/etc/bind/letsencrypt/X.Y.Z/privkey.pem";
    cert-file "/etc/bind/letsencrypt/X.Y.Z/fullchain.pem";
};

http local-http-server {
    endpoints { "/dns-query";  };
};

options {
    allow-query-cache { any; };
        allow-recursion {
        X.X.X.X/Y;
    };
        allow-transfer {
        X.X.X.X/Y;
    };
        allow-update { none; };
        directory "/var/cache/bind";
    http-port 80;
    https-port 443;
    listen-on port 53 { any; };
    listen-on port 80 tls none http local-http-server { any; };
    listen-on port 443 tls local-tls http local-http-server { any; };
    listen-on-v6 port 53 { any; };
    listen-on-v6 port 80 tls none http local-http-server { any; };
    listen-on-v6 port 443 tls local-tls http local-http-server { any; };

        max-cache-size 100M;
        max-cache-ttl 3600;
        max-ncache-ttl 3600;

        # https://kb.isc.org/docs/bind-best-practices-authoritative#6-prepare-for-abuse-of-any-externalfacing-servers
        rate-limit {
#                slip 2; // Every other response truncated
#                window 15; // Seconds to bucket
                responses-per-second 5;// # of good responses per prefix-length/sec
#                referrals-per-second 5; // referral responses
#                nodata-per-second 5; // nodata responses
#                nxdomains-per-second 5; // nxdomain responses
#                errors-per-second 5; // error responses
#                all-per-second 20; // When we drop all
#                log-only no; // Debugging mode
#                pps-scale 250; // x / 1000 * per-second
#                // = new drop limit
#                exempt-clients { 127.0.0.1; 192.153.154.0/24; 192.160.238.0/24 };
#                ipv4-prefix-length 24; // Define the IPv4 block size
#                ipv6-prefix-length 56; // Define the IPv6 block size
#                max-table-size 20000; // 40 bytes * this number = max memory
#                min-table-size 500; // pre-allocate to speed startup
        };

    version none;
};

$

请指教。

不幸的是，internetsystemsconsortium用户/团队没有第三级版本特定标签，这使我无法进行回滚：https://hub.docker.com/r/internetsystemsconsortium/bind9/tags

因为我正在努力将真实 IP 转发到 docker 应用程序，所以我现在在主机网络模式下运行 docker traefik。

traefik 和服务正常运行。这是我的配置

docker-compose.yaml：

---
services:
  traefik:
    image: traefik:latest
    container_name: traefik
    network_mode: host
    volumes:
      - ./traefik.yaml:/traefik.yaml
      - ./letsencrypt/:/letsencrypt/
      - /run/docker.sock:/var/run/docker.sock:ro
    labels:
      - traefik.enable=true
      - traefik.http.routers.traefik.rule=Host(`frontal.cestpasla.norhere.net`)
      - traefik.http.routers.traefik.entrypoints=websecure
      - traefik.http.routers.traefik.service=api@internal
      - traefik.http.services.traefik-0000traefik.loadbalancer.server.port=8080
      - traefik.http.routers.traefik.tls.certresolver=myresolver
      - traefik.http.routers.traefik.middlewares=traefik-auth
      - traefik.http.middlewares.traefik-auth.basicauth.users=me:encryptedpassword

静态 traefik yaml 文件：

---
api:
  dashboard:
providers:
  docker:
    exposedByDefault: false
entrypoints:
  web:
    address: 10.20.0.2:80
  websecure:
    address: 10.20.0.2:443
certificatesresolvers:
  myresolver:
    acme:
      tlschallenge: true
      email: [email protected]
      storage: /letsencrypt/acme.json
#log:
#  level: DEBUG

有问题的行是：

      - traefik.http.services.traefik-0000traefik.loadbalancer.server.port=8080

仪表板服务名称为traefik-0000traefik，可能是因为 docker-compose 文件位于名为 的文件夹中0000.traefik。我不记得在测试的哪个阶段我突然必须添加此行，但是截至目前，在网络主机模式下，如果我不使用此行，我可以在 docker 日志中看到此错误：

2025-03-12T11:25:38Z ERR error="service \"traefik-0000traefik\" error: port is missing" container=traefik-0000traefik-09ccfe569180f81f22b135fd75082ed017ce95a7dc0ade1ab5a7e2bfbd960886 providerName=docker

问题是：
如果我必须对仪表板服务使用配置行，我至少可以选择服务名称，traefik_dashboard或者类似名称吗？以及如何选择？

我无法在全新安装的 Arch Linux 中运行我的 Web 应用程序项目。它使用 docker 和 docker-compose.yaml 来创建数据库、nginx 服务器等。该项目已在多台 PC 和云环境中运行（已有几年了），因此我想知道是否有一些新软件包破坏了构建容器的过程。

我的 dockerfile 使用 APK 安装了一些软件包，但每当我尝试使用 node.js 时都会失败。最初它有一个RUN npm install命令，为了确保 node 是问题所在，我RUN node -v在安装 node 后立即添加了一个命令。两个命令都失败并显示相同的消息：

=> ERROR [app  6/24] RUN node -v                                                                          0.2s
------                                                                                                          
 > [app  6/24] RUN node -v:                                                                                     
0.197 Error relocating /usr/bin/node: sqlite3session_attach: symbol not found
0.197 Error relocating /usr/bin/node: sqlite3changeset_apply: symbol not found
0.197 Error relocating /usr/bin/node: sqlite3session_create: symbol not found
0.197 Error relocating /usr/bin/node: sqlite3session_changeset: symbol not found
0.198 Error relocating /usr/bin/node: sqlite3session_patchset: symbol not found
0.198 Error relocating /usr/bin/node: sqlite3session_delete: symbol not found
------
failed to solve: process "/bin/sh -c node -v" did not complete successfully: exit code: 127

Node 和 npm 安装在文件开头：

FROM php:8.2-fpm-alpine
COPY composer.lock composer.json /var/www/html/
WORKDIR /var/www/html/
RUN apk update 
RUN apk add nodejs npm
RUN node -v
(...)

我该如何调试这种情况？我尝试docker compose up --build在 Google 上多次搜索此错误消息，但无济于事。

我有一个 Docker Swarm，其中运行着各种服务。我使用https://github.com/linuxserver/docker-syslog-ng添加了 syslog-ng OSE 服务。syslog-ng 堆栈具有以下 docker-compose.yml：

---
services:
  syslog:
    image: registry.local.net/syslog-ng:latest
    ports:
      - 514:514
    volumes:
      - /path/on/host/syslog-ng/config:/config
      - /path/on/host/log:/log
    environment:
      - PUID=1000
      - PGID=1000
      - TZ=Etc/UTC
      - LOG_TO_STDOUT=1
#    healthcheck:
#      test: ["CMD-SHELL", "/usr/sbin/syslog-ng-ctl healthcheck -c /config/syslog-ng.ctl || exit 1"]
#      interval: 10s
#      timeout: 2s
#      retries: 3
    deploy:
      mode: replicated
      replicas: 1
      restart_policy:
        condition: on-failure
      update_config:
        parallelism: 1
        delay: 10s
    networks:
      syslog:

networks:
  syslog:
    external: true

我的 syslog-ng.conf 文件是这样的：

@version: 4.2
@include "scl.conf"

options {
     chain_hostnames(no);
     flush_lines(0);
     use_dns(no);
     time_reopen(1);
};

source net {
    tcp(ip(0.0.0.0) port(514));
};

template my_log_format {
    template("$MSG\n");
};

filter f_access_log { program("httpd.access") };

destination d_logs {
    file(
        "/log/TEST"
        owner("1000")
        group("1000")
        perm(0664)
        template(my_log_format)
        );
};

log {
    source(net); filter(f_access_log); destination(d_logs);
};

我已经在 Docker Swarm 中配置了一个 Apache 服务，以使用 将其日志发送到 syslog-ng 服务logger -T -t httpd.accept -n syslog -P 514 --rfc3164。

Syslog-ng 创建配置的日志文件，从 Apache 接收日志行，并定期将它们附加到配置的日志文件中。一切似乎都按我想要的方式进行。唯一的问题是 syslog-ng Docker 容器每 70-80 秒就会退出并重新启动一次。我尝试添加健康检查（上面已注释掉），但没有任何改变。检查已退出的容器显示，健康检查全部通过，直到容器以退出代码 137 退出，并且已退出容器的 docker 日志没有显示任何明显错误。

syslog-ng 当前日志文件显示以下内容（减去每行开头的时间戳）：

Accepting connections; addr='AF_INET(0.0.0.0:514)'
syslog-ng starting up; version='4.8.1'
Syslog connection accepted; fd='14', client='AF_INET(10.0.6.244:37126)', local='AF_INET(0.0.0.0:514)'

在其中一个容器退出前的几秒，top容器内部显示以下内容：

top - 08:31:26 up 169 days, 17:44,  0 user,  load average: 1.13, 1.05, 1.05
Tasks:  15 total,   1 running,  14 sleeping,   0 stopped,   0 zombie
%Cpu(s): 23.8 us,  1.8 sy,  0.0 ni, 73.9 id,  0.0 wa,  0.2 hi,  0.2 si,  0.0 st 
MiB Mem :   7652.9 total,    405.8 free,   2924.0 used,   4968.6 buff/cache     
MiB Swap:   8192.0 total,   7883.4 free,    308.6 used.   4728.9 avail Mem 

编辑：我以为我通过添加找到了解决方案

    time-reap(30);
    mark-freq(10);

到 syslog-ng 全局选项。在我最初做出该更改后，Docker 容器保持运行近 5 分钟，但现在即使使用这些选项，它也会每隔一分钟左右退出并重新启动一次。

我在 Synology NAS 上运行的 Docker 容器中有一个 GitLab 实例。现在，我想将 GitLab 移动到我拥有的 Windows PC 上，但通过共享文件夹并将其设为 Docker 卷，将数据保留在 NAS 上。为了测试它，我在 NAS 上创建了一些文件夹config、data和，logs并使用“共享文件夹”在网络上共享它们。据我所知，我们已将其配置为使用 SMB 来实现这一点。然后，在 Windows 机器上，我运行（基于此建议）

docker volume create --driver local
  --opt type=cifs
  --opt device=//192.168.1.150/gitlab_docker_volume/config
  --opt o=user=gitlab_docker_volume,password=<password> gitlab-config

另外两个是创建gitlab-data和gitlab-logs。

然后，我使用以下命令启动容器

docker run -d -p 8070:80 -p 8433:443 -p 8012:22
  -v gitlab-logs:/var/log/gitlab:rw
  -v gitlab-data:/var/opt/gitlab:rw
  -v gitlab-config:/etc/gitlab:rw gitlab/gitlab-ce

并因错误而崩溃

...
Mixlib::ShellOut::ShellCommandFailed:
Failed asserting that ownership of "/var/opt/gitlab/git-data" was git:git
...

2024-12-13 13:54:47 + [ root:root = git:git ]

当我查看 NAS 上的文件夹时，我可以看到容器成功创建了 GitLab 所需的所有文件和文件夹，但它们都有所有者gitlab_docker_volume:users和777权限。在dataNAS 上运行的原始 GitLab 容器的卷中，该git-data文件夹属于某个神秘用户998，并且具有2770权限。

如果我理解正确的话，发生的情况是 GitLab 容器尝试访问chown该git-data文件夹，并且该命令必须映射到 SMB/CIFS 共享，但事实并非如此。

有两篇帖子提到了相同的错误，但是它们在使用不同的卷设置时遇到了该问题 - 其中一个似乎是由于在虚拟机中运行 Windows 服务器而出现问题，另一个则使用 Windows 原生文件夹。

https://stackoverflow.com/questions/45134978/setting-up-gitlab-using-docker-on-windows-host-issue-with-shared-folders

https://stackoverflow.com/questions/44684621/volume-trouble-with-gitlab-docker-image-on-windows

我还尝试找出如何通过网络共享来编辑 Linux 权限，但搜索结果充斥着“如何在创建文件夹时设置权限，以便 Docker 容器可以首先编辑它们”——这在我的设置中已经起作用了。

另一方面，我有原本位于 Linux 计算机上的共享文件夹。我能否通过某种方式更改文件夹共享设置、卷设置或其他任何内容，以便容器可以更改文件的用户和权限？顺便说一下，Docker 正在使用 WSL 后端运行。

data我的文件系统根目录下有一个文件夹

arthur@debian:~$ ls -la /data
total 36
drwxr-xr-x  9 root   root            4096 Dec 13 09:45 .
drwxr-xr-x 21 root   root            4096 Dec 13 10:08 ..
drwxr-xr-x  2 root   root            4096 Jun 15  2020 500g2
drwxr-xr-x  6 root   root            4096 Nov 16 18:20 quad_1
drwxr-sr-x  5 arthur arthur          4096 Dec 13 13:29 tera_1
drwxrwxr-x  6 root   root            4096 Dec  7 00:00 tera_2
drwxr-xr-x  5 root   root            4096 Sep 18 21:32 tera_3
drwxr-xr-x  6 root   root            4096 May  5  2021 tera_4

我想将整个目录挂载为 docker 卷，但容器必须具有只读访问权限。所以我使用了:ro

sudo docker run -it --name testcontainer -v /data:/internal_data:ro --rm alpine:latest /bin/sh

当 shell 生成时，我仍然能够写入本应只读的容器。这是为什么？

/ # touch /internal_data/test
touch: /internal_data/test: Read-only file system        # Ok, container prevented from writing
/ # touch /internal_data/tera_1/test                     # This worked
/ # touch /internal_data/tera_2/test                     # This worked
/ # touch /internal_data/500g2/test                      
touch: /internal_data/500g2/test: Read-only file system # Ok, container prevented from writing
/ #

我有一个脚本文件夹，里面有一个 python 脚本、docker 文件以及 requirements.txt

我的 python 脚本在本地单独运行良好。

Python 脚本

import os
import time
from fastapi import FastAPI
import uvicorn

app = FastAPI()


SHARED_VOLUME_PATH = '/mnt/shared'
@app.get("/")
def process_data():
    data = "From Primary car"
    
    with open(os.path.join(SHARED_VOLUME_PATH, 'shared_data_file.txt'), 'w') as f:
        f.write(data)
    
    print("Data processed and stored in shared volume")
    response = "Data processed and stored in shared volume"
    return response

if __name__ == '__main__':
    port = int(os.environ.get("PORT", 8080))
    uvicorn.run(app, host="0.0.0.0", port=port)
    process_data()

Docker文件内容如下

FROM python:3.11

WORKDIR /app

COPY requirements.txt .
RUN pip install --no-cache-dir -r requirements.txt

COPY main.py .

CMD ["python", "main.py"]

当我运行命令时

gcloud builds submit --tag europe-west4-docker.pkg.dev/<GCP-project-ID>/artifactory/scar-prim-component:latest

我收到了这个错误。

ERROR: (gcloud.builds.submit) HTTPError 412: 'us' violates constraint 'constraints/gcp.resourceLocations'

我在这方面不太擅长。请告诉我需要做哪些更改，以便我可以将我的代码作为 GCP 中的artifactory 组件推送。

我在不同的 GCP 项目中运行了相同的脚本并执行了相同的步骤，并且运行良好并且也得到了部署。

如果有其他方法来构建并推送到artifactory，请提供步骤（详细）

我有以下场景：一台 Docker 主机上有多个 CMS 项目和一个正在运行的 Traefik。我想从公共 IP 地址中过滤掉后端 URL，因为它只能从私有 IP 范围访问。

公开可用： https：//www.project.com/xyz https：//www.project.com/abc

仅限于内部 IP：https: //www.project.com/backend

我是否可以通过 IP 白名单和例如 2 个路由器 (1 个用于公共访问，1 个用于后端访问) 来实现这一点？

我尝试过类似的事情：

  # Backend Router (Restricted Access)
  - "traefik.http.routers.project-backend.rule=Host(`${DOMAINNAME}`) && PathPrefix(`/backend`)"
  - "traefik.http.routers.project-backend.entrypoints=https"
  - "traefik.http.routers.project-backend.tls=true"
  - "traefik.http.routers.project-backend.middlewares=backend-ipwhitelist"
  - "traefik.http.routers.project-backend.priority=100"

但过滤器不起作用 - 仍然可以访问后端。

有什么建议吗？

我在 Docker 容器内运行 BIND9，并注意到很多这样的消息：

bind9 | 2024 年 11 月 13 日 22：39：13.792 查询：信息：客户端 @0x7f81a0077000 200.55.244.14#7459 (.)：查询：. IN ANY +E(0) (172.19.0.2)

我现在正尝试按照BIND 最佳实践 - 权威和/或使用响应速率限制 (RRL) 来实现“响应速率限制(RRL)” 。但是，即使添加了以下配置，似乎也没有任何区别：

options {
         …
          rate-limit {
              responses-per-second 5;
          };
      };

我的环境：

$ docker --version
Docker version 27.3.1, build ce12230
$ docker compose version
Docker Compose version v2.29.7
$ cat /etc/debian_version
12.7
$ uname -a
Linux X 6.1.0-26-amd64 #1 SMP PREEMPT_DYNAMIC Debian 6.1.112-1 (2024-09-30) x86_64 GNU/Linux
$ docker images internetsystemsconsortium/bind9
REPOSITORY                        TAG       IMAGE ID       CREATED       SIZE
internetsystemsconsortium/bind9   9.21      2fe7f58e77a3   4 weeks ago   371MB
$

请指教）提前谢谢！