主页 / server / 问题

问题[podman](server)

Martin Hope
AlekS
Asked: 2024-01-21 19:50:24 +0800 CST
  • 5

这里有一个问题。这是我的 podman-compose.yml 的一部分

  web:
    build: .
    args:
      USERNAME: ${USERNAME}
      GROUPNAME: ${GROUPNAME}
      USERID: ${USERID}
      GROUPID: ${GROUPID}
    depends_on:
      - db
    environment:
      - TERMINFO=/etc/terminfo
      - TERM=xterm-256color
      - PGHOST=db
      - DATABASE_URL=postgresql://db
      - PGUSER=postgres
      - PGPASSWORD=password
      - APP_HOST=web
    userns: keep-id

    ports:
     - "3000:3000"
    volumes:
     - .:/app:z

这是对 podman 作曲家的调用：

podman-compose up --build-arg USERNAME=$(id -un) --build-arg GROUPNAME=$(id -gn) --build-arg USERID=$(id -u) --build-arg GROUPID=$(id -g)

卷web应该可以从容器和主机进行写入访问。

在此配置中，容器内的相应文件夹和内部文件均由 root 拥有。如果我添加一个“U”标志，如下所示： - .:/app:z,U，文件夹将变得对容器可写访问，但在本地，在主机上，该文件夹将由 uid 100999 和 gid 100999 的用户拥有。

但是当我使用命令运行生成的容器时

podman run -it -v .:/home/lesha:z --userns=keep-id  --entrypoint /bin/sh quotes_web:latest

容器内的所有权是正确的，并且在主机上没有更改，并且一切都按预期工作。有什么建议可以为作曲家解决这个问题吗？

这是一个 Dockerfile：

FROM docker.io/library/ruby:3.0.0-alpine

ARG USERNAME
ARG GROUPNAME
ARG USERID
ARG GROUPID

COPY run_rails.sh /usr/local/bin
RUN chmod +x /usr/local/bin/run_rails.sh

WORKDIR /app

ENV APPPATH='/app'

RUN echo '***' && \
    addgroup -g $GROUPID $GROUPNAME && \
    adduser -S -u $USERID -G $GROUPNAME  -h /home/$USERNAME -s /bin/sh $USERNAME && \
    mkdir -p /home/$USERNAME && \
    chmod 700 /home/$USERNAME && \
    mkdir -p $APPPATH && \
    echo "export PATH=$PATH:/home/$USERNAME/.local/share/gem/ruby/3.0.0/bin" >> /home/$USERNAME/.profile && \
    echo 'gem: --user-install --env-shebang --no-rdoc --no-ri' >> /home/$USERNAME/.gemrc && \
    echo "Change ownership chown -R $USERNAME:$GROUPNAME $APPPATH" && \
    chown -R $USERNAME:$GROUPNAME $APPPATH && \
    chown -R $USERNAME:$GROUPNAME /home/$USERNAME

USER $USERNAME
ENTRYPOINT ["run_rails.sh"]

EXPOSE 3000

谢谢你！

podman
Martin Hope
Jonas
Asked: 2021-08-22 07:54:38 +0800 CST
  • 1

我尝试将etcd作为在podman容器中运行的 systemd 服务启动。

启动后，我从 systemd 收到此错误日志：

systemd[1]: etcd.service: Got notification message from PID 4696, but reception only permitted for main PID 4868

但是 etcd 似乎可以开始尝试通知容器守护进程：

21T15:31:08.817Z","caller":"etcdserver/server.go:2500","msg":"cluster version>
Aug 21 15:31:08 ip-10-0-0-71 podman[4696]: {"level":"info","ts":"2021-08-21T15:31:08.817Z","caller":"etcdmain/main.go:47","msg":"notifying init daemon>
Aug 21 15:31:08 ip-10-0-0-71 podman[4696]: {"level":"info","ts":"2021-08-21T15:31:08.818Z","caller":"etcdmain/main.go:53","msg":"successfully notified>

但 systemd 似乎没有意识到这一点并终止了 etcd 服务：

Aug 21 15:32:34 ip-10-0-0-71 systemd[1]: etcd.service: start operation timed out. Terminating.
Aug 21 15:32:35 ip-10-0-0-71 podman[4696]: {"level":"info","ts":"2021-08-21T15:32:35.000Z","caller":"osutil/interrupt_unix.go:64","msg":"received sign>
Aug 21 15:32:35 ip-10-0-0-71 podman[4696]: {"level":"info","ts":"2021-08-21T15:32:35.000Z","caller":"embed/etcd.go:367","msg":"closing etcd server","n>

这是 systemd 服务状态：

$ sudo systemctl status etcd.service
● etcd.service - etcd
     Loaded: loaded (/etc/systemd/system/etcd.service; enabled; vendor preset: enabled)
     Active: failed (Result: timeout) since Sat 2021-08-21 15:32:35 UTC; 8min ago
    Process: 4868 ExecStart=/usr/bin/podman run -p 2380:2380 -p 2379:2379 --volume=/var/lib/etcd:/etcd-data:z --name etcd 842445240665.dkr.ecr.eu-nort>
   Main PID: 4868 (code=exited, status=0/SUCCESS)
        CPU: 3.729s

这是我从 podman 开始的 etcd 的 systemd 单元服务文件：

cat <<EOF | sudo tee /etc/systemd/system/etcd.service
[Unit]
Description=etcd
After=podman_ecr_login.service mk_etcd_data_dir.service

[Service]
Type=notify
ExecStart=/usr/bin/podman run -p 2380:2380 -p 2379:2379 --volume=/var/lib/etcd:/etcd-data:z \
 --name etcd <my-aws-account>.dkr.ecr.eu-north-1.amazonaws.com/etcd:v3.5.0 \
 /usr/local/bin/etcd --data-dir=/etcd-data \
 --name etcd0 \
 --advertise-client-urls http://127.0.0.1:2379 \
 --listen-client-urls http://0.0.0.0:2379 \
 --initial-advertise-peer-urls http://127.0.0.1:2380 \
 --listen-peer-urls http://0.0.0.0:2380 \
 --initial-cluster etcd0=http://127.0.0.1:2380

[Install]
WantedBy=multi-user.target
EOF

sudo systemctl enable etcd
sudo systemctl start etcd

我怀疑这可能与Type=notify我使用 podman 或 etcd 的方式有关。我以与 etcd 文档中所述类似的方式启动 etcd：在容器内运行 etcd 集群 - 运行单个节点 etcd。我在 Debian 11 上使用 Podman 3.0.1 运行它。

关于如何使用 podman 作为 systemd 服务启动 etcd 的任何建议？

linux debian systemd podman etcd
Martin Hope
dax
Asked: 2021-03-02 00:48:59 +0800 CST
  • 1

我想从无根 podman 容器内访问主机系统上的目录。当使用带有 podman 无根容器的外部卷时，访问外部卷的用户具有调用 podman 的用户的 subuid 和 subgid。哪个用户 id 取决于调用用户和 OCI 容器中的内部用户的子 id 范围。我发现让这个子用户访问外部卷的唯一方法（除了让主机系统上的每个人都可以写该文件夹）是chown直接访问该子用户 ID 的目录。有没有更好的方法来做到这一点，它不涉及我手动检查/etc/subgid以及容器中的用户？

podman
Martin Hope
Dmytro Titov
Asked: 2020-09-08 23:06:43 +0800 CST
  • 1

我正在运行一个简单的 Kubernetes 部署描述符，podman play kube并且我的一些服务需要设置环境变量。在 Docker Compose/Swarm 中，我可以将 env-vars 的名称放入文件中，它们将从主机操作系统中获取。或者，我可以将.env文件与 Docker Compose 一起用于此目的。但这些似乎都不适用于 podman。我知道 Kubernetes 为此提供了 ConfigMaps，但它似乎也没有在podman play kube. 那么在这种情况下将 OS 环境变量传播到容器的方式是什么，因为我真的不想显式地硬编码.yaml文件中的值？

deployment podman
Martin Hope
mdx0111
Asked: 2020-07-09 22:13:13 +0800 CST
  • 2

我在 podman 中创建了两个网络，“后端”和“前端”。

NAME      VERSION  PLUGINS
podman    0.4.0    bridge,portmap,firewall,tuning
backend   0.4.0    bridge,portmap,firewall,dnsname
frontend  0.4.0    bridge,portmap,firewall,dnsname

我有一个使用以下命令在“后端”网络中运行的 MS Sql Server 容器：

podman run -d -e 'ACCEPT_EULA=Y' -e 'SA_PASSWORD=TestS01Pass' --name mssqlserver -v sqlvolume:/var/opt/mssql --network backend mcr.microsoft.com/mssql/server:2019-latest

我还有三个 .netcore Web 应用程序（productapp1、productapp2、productapp3），它们分配给“后端”和“前端”网络。请参阅下面的 dockerfile 内容：

FROM mcr.microsoft.com/dotnet/core/aspnet:3.1
COPY dist /app
WORKDIR /app
EXPOSE 80/tcp
ENTRYPOINT [ "dotnet", "DockerSample.dll" ]

这些是我用来创建它们的命令：

podman create --name productapp1 --network backend,frontend docker-sample
podman create --name productapp2 --network backend,frontend docker-sample
podman create --name productapp3 --network backend,frontend docker-sample

我还有一个使用以下命令分配给“前端”网络的 haproxy 容器：

podman run -d --name loadbalancer --network frontend --volume $(pwd)/haproxy.cfg:/usr/local/etc/haproxy/haproxy.cfg -p 3000:80 --privileged haproxy:latest

haproxy的配置如下：

defaults
        timeout connect 5000
        timeout client 50000
        timeout server 50000
frontend localnodes
        bind *:80
        mode http
        default_backend mvc
        stats enable
        stats uri /stats
        stats refresh 1s

backend mvc
        mode http
        balance roundrobin
        server mvc1 productapp1:80
        server mvc2 productapp2:80
        server mvc3 productapp3:80

通过查看 Web 应用程序的日志，我可以确认它们按预期工作，没有任何问题。请参阅以下其中一个 Web 应用程序容器的日志：

warn: Microsoft.AspNetCore.DataProtection.Repositories.FileSystemXmlRepository[60]
      Storing keys in a directory '/root/.aspnet/DataProtection-Keys' that may not be persisted outside of the container. Protected data will be unavailable when container is destroyed.
Applying Migrations...
Seed Data Not Required...
info: Microsoft.Hosting.Lifetime[0]
      Now listening on: http://localhost:5000
info: Microsoft.Hosting.Lifetime[0]
      Application started. Press Ctrl+C to shut down.
info: Microsoft.Hosting.Lifetime[0]
      Hosting environment: Production
info: Microsoft.Hosting.Lifetime[0]
      Content root path: /app

问题是当我导航到 http://localhost:3000 时，我收到 503 Service Unavailable 消息。（没有可用的服务器来处理这个请求。）

我在其中一个 webapps 上运行了以下命令，并验证了 mssqlserver 的端口是可访问的：

podman exec -it productapp1 /bin/nc -zvw3 mssqlserver 1433

结果是：

DNS fwd/rev mismatch: mssqlserver != mssqlserver.dns.podman
mssqlserver [10.89.1.55] 1433 (?) open

但是，如果我为其中一个 Web 应用程序运行相同的命令：

podman exec -it productapp1 /bin/nc -zvw3 productapp2 80
podman exec -it productapp1 /bin/nc -zvw3 productapp2 5000

两者都返回连接被拒绝消息：

DNS fwd/rev mismatch: productapp2 != productapp2.dns.podman
productapp2 [10.89.1.57] 80 (?) : Connection refused

DNS fwd/rev mismatch: productapp2 != productapp2.dns.podman
productapp2 [10.89.1.57] 5000 (?) : Connection refused

我想知道是否有人可以对此有所了解，因为我一直在搜索和阅读很多内容，但无法弄清楚为什么这么简单的事情不应该起作用。

非常感谢。

谢谢。

更新 1：我忘了提到我也尝试过使用以下配置的 haproxy：

defaults
   timeout connect 5000
   timeout client 50000
   timeout server 50000
frontend localnodes
   bind *:80
   mode http
   default_backend mvc
   stats enable
   stats uri /stats
   stats refresh 1s
    
backend mvc
   mode http
   balance roundrobin
   server mvc1 productapp1:5000
   server mvc2 productapp2:5000
   server mvc3 productapp3:5000

更新 2：以下是我的 launchSettings.json 的内容

{
  "iisSettings": {
    "windowsAuthentication": false,
    "anonymousAuthentication": true,
    "iisExpress": {
      "applicationUrl": "http://localhost:30113",
      "sslPort": 44371
    }
  },
  "profiles": {
    "IIS Express": {
      "commandName": "IISExpress",
      "launchBrowser": true,
      "environmentVariables": {
        "ASPNETCORE_ENVIRONMENT": "Development"
      }
    },
    "DockerSample": {
      "commandName": "Project",
      "launchBrowser": true,
      "applicationUrl": "https://localhost:5001;http://localhost:5000",
      "environmentVariables": {
        "ASPNETCORE_ENVIRONMENT": "Development"
      }
    }
  }
}

我还尝试使用 -e ASPNETCORE_URLS=http://+:5000 创建容器，但仍然遇到相同的错误。

更新 3：将 launchSettings.json 更新为：

{
  "iisSettings": {
    "windowsAuthentication": false,
    "anonymousAuthentication": true,
    "iisExpress": {
      "applicationUrl": "http://localhost:30113",
      "sslPort": 44371
    }
  },
  "profiles": {
    "IIS Express": {
      "commandName": "IISExpress",
      "launchBrowser": true,
      "environmentVariables": {
        "ASPNETCORE_ENVIRONMENT": "Development"
      }
    },
    "DockerSample": {
      "commandName": "Project",
      "launchBrowser": true,
      "applicationUrl": "https://+:5001;http://+:5000",
      "environmentVariables": {
        "ASPNETCORE_ENVIRONMENT": "Development"
      }
    }
  }
}

更新 4：在 Michael Hampton 的帮助下，我设法为我的 Web 应用程序容器打开了 5000 端口。我的 Web 应用程序容器的日志现在如下所示：

warn: Microsoft.AspNetCore.DataProtection.Repositories.FileSystemXmlRepository[60]
      Storing keys in a directory '/root/.aspnet/DataProtection-Keys' that may not be persisted outside of the container. Protected data will be unavailable when container is destroyed.
info: Microsoft.Hosting.Lifetime[0]
      Now listening on: http://[::]:5000
info: Microsoft.Hosting.Lifetime[0]
      Application started. Press Ctrl+C to shut down.
info: Microsoft.Hosting.Lifetime[0]
      Hosting environment: Production
info: Microsoft.Hosting.Lifetime[0]
      Content root path: /app

我也可以从其他容器 netcat 这个端口：

DNS fwd/rev mismatch: productapp2 != productapp2.dns.podman
productapp2 [10.89.1.82] 5000 (?) open

我现在可以按预期导航到我的网络应用程序。

haproxy podman
Martin Hope
Mark C
Asked: 2020-03-26 06:45:41 +0800 CST
  • 1

我正在努力将现有的 CentOS 7 Docker 映像构建过程转换为使用 Buildah，但我遇到了mknod.

目前我使用以下 Dockerfile 来构建一个新图像。所以基本上是用一个镜像来构建一个镜像，以避免对构建主机的依赖。我这样运行它：

docker build -f Dockerfile.builder -t centosbuilder:latest . && \
docker run --rm centosbuilder:latest | docker import - mycentos:latest

这是 Dockerfile：

FROM centos:7

ENV ROOTFS /image_build_root
ENV TMPDIR /tmp/image_build

WORKDIR ${TMPDIR}
RUN mkdir -p ${ROOTFS}
RUN mkdir -m 755 ${ROOTFS}/dev && \
    mknod -m 600 ${ROOTFS}/dev/console c 5 1 && \
    mknod -m 600 ${ROOTFS}/dev/initctl p && \
    mknod -m 666 ${ROOTFS}/dev/full c 1 7 && \
    mknod -m 666 ${ROOTFS}/dev/null c 1 3 && \
    mknod -m 666 ${ROOTFS}/dev/ptmx c 5 2 && \
    mknod -m 666 ${ROOTFS}/dev/random c 1 8 && \
    mknod -m 666 ${ROOTFS}/dev/tty c 5 0 && \
    mknod -m 666 ${ROOTFS}/dev/tty0 c 4 0 && \
    mknod -m 666 ${ROOTFS}/dev/urandom c 1 9 && \
    mknod -m 666 ${ROOTFS}/dev/zero c 1 5
RUN yum --installroot=${ROOTFS} --releasever=7 --setopt=tsflags=nodocs --setopt=group_package_types=mandatory -y groupinstall Core
RUN yum --installroot=${ROOTFS} -y clean all
RUN echo "NETWORKING=yes" > ${ROOTFS}/etc/sysconfig/network && \
    echo "HOSTNAME=localhost.localdomain" > ${ROOTFS}/etc/sysconfig/network
RUN rm -rf ${ROOTFS}/usr/{{lib,share}/locale,{lib,lib64}/gconv,bin/localedef,sbin/build-locale-archive} && \
    #  docs and man pages
    rm -rf ${ROOTFS}/usr/share/{man,doc,info,gnome/help} && \
    #  cracklib
    rm -rf ${ROOTFS}/usr/share/cracklib && \
    #  i18n
    rm -rf ${ROOTFS}/usr/share/i18n && \
    #  yum cache
    rm -rf ${ROOTFS}/var/cache/yum && \
    mkdir -p --mode=0755 ${ROOTFS}/var/cache/yum && \
    #  sln
    rm -rf ${ROOTFS}/sbin/sln && \
    #  ldconfig
    rm -rf ${ROOTFS}/etc/ld.so.cache ${ROOTFS}/var/cache/ldconfig && \
    mkdir -p --mode=0755 ${ROOTFS}/var/cache/ldconfig
CMD /usr/bin/tar -cf - -C ${ROOTFS} .

使用 Buildah，我在这一行遇到了我的第一个错误：

$ buildah run "${BUILDER}" mknod -m 600 "${ROOTFS}/dev/console" c 5 1
/usr/bin/mknod: '/image_build_root/dev/console': Operation not permitted
ERRO exit status 1

我尝试以 root 身份运行我的构建脚本（见下文），但无济于事。我假设可能CAP_MKNOD没有设置该功能，但即使我手动启用它，我也会收到相同的错误。

构建脚本：

#!/bin/bash -x

set -e

ROOTFS=/image_build_root
TMPDIR=/tmp/image_build

BUILDER="$(buildah from docker.io/library/centos:7)"
buildah config --workingdir "${TMPDIR}" "${BUILDER}"
buildah run "${BUILDER}" mkdir -p "${ROOTFS}"
buildah run "${BUILDER}" mkdir -m 755 "${ROOTFS}/dev"
buildah run --cap-add=CAP_MKNOD "${BUILDER}" mknod -m 600 "${ROOTFS}/dev/console" c 5 1
buildah run "${BUILDER}" mknod -m 600 "${ROOTFS}/dev/initctl" p
buildah run "${BUILDER}" mknod -m 666 "${ROOTFS}/dev/full" c 1 7
buildah run "${BUILDER}" mknod -m 666 "${ROOTFS}/dev/null" c 1 3
buildah run "${BUILDER}" mknod -m 666 "${ROOTFS}/dev/ptmx" c 5 2
buildah run "${BUILDER}" mknod -m 666 "${ROOTFS}/dev/random" c 1 8
buildah run "${BUILDER}" mknod -m 666 "${ROOTFS}/dev/tty" c 5 0
buildah run "${BUILDER}" mknod -m 666 "${ROOTFS}/dev/tty0" c 4 0
buildah run "${BUILDER}" mknod -m 666 "${ROOTFS}/dev/urandom" c 1 9
buildah run "${BUILDER}" mknod -m 666 "${ROOTFS}/dev/zero" c 1 5
buildah run "${BUILDER}" yum \
    --installroot="${ROOTFS}" \
    --releasever=7 \
    --setopt=tsflags=nodocs \
    --setopt=group_package_types=mandatory \
    -y \
    groupinstall Core
buildah run "${BUILDER}" yum --installroot="${ROOTFS}" -y clean all
buildah run "${BUILDER}" echo "NETWORKING=yes" > "${ROOTFS}/etc/sysconfig/network"
buildah run "${BUILDER}" echo "HOSTNAME=localhost.localdomain" > "${ROOTFS}/etc/sysconfig/network"
buildah run "${BUILDER}" rm -rf \
    "${ROOTFS}/usr/{{lib,share}/locale,{lib,lib64}/gconv,bin/localedef,sbin/build-locale-archive}" \
    "${ROOTFS}/usr/share/{man,doc,info,gnome/help}" \
    "${ROOTFS}/usr/share/cracklib" \
    "${ROOTFS}/usr/share/i18n" \
    "${ROOTFS}/var/cache/yum" \
    "${ROOTFS}/sbin/sln" \
    "${ROOTFS}/etc/ld.so.cache" \
    "${ROOTFS}/var/cache/ldconfig"
buildah run "${BUILDER}" mkdir -p --mode=0755 "${ROOTFS}/var/cache/yum"
buildah run "${BUILDER}" mkdir -p --mode=0755 "${ROOTFS}/var/cache/ldconfig"
buildah config --cmd /usr/bin/tar -cf - -C "${ROOTFS}" . "${BUILDER}"
buildah commit "${BUILDER}" centos7builder
linux podman
Martin Hope
jnbdz
Asked: 2020-01-27 07:34:49 +0800 CST
  • 3

我有两个 nginx 容器正在运行。

一个正在侦听端口 80，另一个正在侦听 8080。

这是我运行它们的方式：

sudo podman run --rm \
 -t \
 -p 8080:80 \
 --publish-all \
 --name nginx-two \
 -v ./html2/:/usr/share/nginx/html \
 -v ./html2/conf/default.conf:/etc/nginx/conf.d/default.conf \
 -d nginx

第二：

sudo podman run --rm -t -p 80:80 --name nginx -v ./html/:/usr/share/nginx/html -v ./html/conf/conf.d:/etc/nginx/conf.d -d nginx

NGiNX 配置：

location / {
    proxy_pass http://10.88.0.37:8080;
}

我也试过：

location / {
    proxy_pass http://127.0.0.1:8080;
}

此配置由--name=nginx容器使用。

这是我得到的错误：

2020/01/26 15:33:05 [error] 8#8: *1 connect() failed (111: Connection refused) while connecting to upstream, client: 10.88.0.1, server: , request: "GET / HTTP/1.1", upstream: "http://127.0.0.1:8080/", host: "localhost"
10.88.0.1 - - [26/Jan/2020:15:33:05 +0000] "GET / HTTP/1.1" 502 157 "-" "Mozilla/5.0 (X11; Linux x86_64; rv:68.0) Gecko/20100101 Firefox/68.0" "-"

有没有办法让这些容器相互通信？

我也尝试使用--pod. 但后来得到这个错误：

Error: cannot set port bindings on an existing container network namespace
networking nginx docker podman
Martin Hope
jnbdz
Asked: 2019-10-27 13:10:47 +0800 CST
  • 3

我知道在 Docker 中，如果你想改变你去的运行时：/etc/docker/daemon.json

并修改：

{
    "runtimes": {
        "runnc": {
            "path": "/usr/sbin/runnc"
        }
    }
}

但是我如何使用 Podman 来做到这一点（或者只是添加运行时）？

OCIRuntime：包：

运行：/usr/sbin/运行

路径：/usr/sbin/runc

podman