Docker

firewalld を docker container に入れるとしばらくして外につながらなくなる:

$ wget http://www.yahoo.co.jp
...
wget: unable to resolve host address ‘www.yahoo.co.jp’

不明(2019/07 時点)

取り敢えず コンテナ内の /etc/resolv.conf に

nameserver 8.8.8.8

を1行目に追加することで対応。 google 謹製 DNS とのこと。

これはもう非推奨の模様

これが僕の場合はいいかも

127.0.0.1:13306 を 172.29.0.2:3306 につなげたいのだけど、その方法として

• ssh portforward

  $ sudo systemctl start sshd
  $ ssh -N -L 13306:172.29.0.2:3306 localhost

• firewalld の場合

  $ sudo firewall-cmd --zone=external --add-forward-port=port=13306:proto=tcp:toaddr=172.29.0.2:3306

サーバ用途に固定IPを付与したかったので別ネットワーク 'my-fixed-ip' 172.29.0.0/16 を作ったけど、その中のコンテナ A は元のネットワーク 'bridge' と デフォルトでは通信できなかったので、 上記コマンドが必要だった次第。

1. 某アプリで ssh 経由アクセスが必要。 (具体的には itamae ssh。itamae docker がなぜか Docker API timeout したり 大量の無名コンテナを作成したりと、どうも使い方がよく分からないので、 itamae ssh して docker コンテナにアクセスしたいのだった)
2. 他方、動作環境の OS を隔離するために Docker を使用したい。

…と言う２つのニーズを満たすために、sshd を Docker で走らせる必要があった。

[+] [-] 2.7.1.1. 余談1

[+] [-] 2.7.1.2. 余談2

凡例:

1. Dockerfile 作成

   FROM    centos:7
   RUN     yum install -y openssh-server tar which wget
   RUN     yum install -y iproute openssh-clients  # CentOS7 only
   RUN     mkdir -p /etc/chef/ohai/plugins         # itamae の bug 回避。itamae 用途以外では不要

2. イメージ作成(build)

   h$ docker build -t [MY-APP-WITH-SSHD-IMAGE] - <Dockerfile

3. コンテナ作成

   h$ docker run -P -d \
       -v          [HOST-DIR]:[CONTAINER-DIR] \
       --hostname  [MY-APP-HOST] \
       --name      [MY-APP-WITH-SSHD-CONTAINER] \
       --privileged \
       [MY-APP-WITH-SSHD-IMAGE] \
       /sbin/init

   • --privileged 過剰かも。--cap-add SYS_ADMIN が動作すればそれに
   • /sbin/init は、コンテナを daemon 起動させる centos7 での方法
4. sshd 実行

   h$ docker exec -d [MY-APP-WITH-SSHD-CONTAINER] /usr/sbin/sshd -D

5. ssh できることを確認

   h$ docker port [MY-APP-WITH-SSHD-CONTAINER]
   22/tcp -> 0.0.0.0:[DPORT]               # コンテナ側ポート 22 に対応するホスト側ポート [DPORT] を知る
   h$ ssh -p [DPORT] root@localhost

以降は、セキュリティ強化のために行っておくこと:

1. Rootログイン禁止、Password ログインを禁止

   c$ sudo vi /etc/ssh/sshd_config
   ...
   PermitRootLogin no
   ...
   PasswordAuthentication no
   ...

   下記を改変:
   • ssh Rootログインを許可しているが、これは行わない
   • sshd は起動しない。必要に応じて起動するだけ。

一度構築したコンテナで、以降 sshd が不要であればもう起動する必要はない

※ この節で書いた方法は、 https://docs.docker.com/engine/examples/running_ssh_service/ を参考に しているけど、僕の用途では過剰な設定なので、もはや不要。

1. Dockerfile 作成

   FROM    centos:6
   RUN     yum install -y openssh-server tar which wget cronie
   RUN     yum install -y openssh-clients    # scp サーバ側動作に必要
   RUN     /etc/init.d/sshd start            # key の生成に必要
   RUN     sed 's@session\s*required\s*pam_loginuid.so@session optional pam_loginuid.so@g' -i /etc/pam.d/sshd
   ENV     NOTVISIBLE "in users profile"
   RUN     echo "export VISIBLE=now" >> /etc/profile
   EXPOSE  22
   CMD     ["/usr/sbin/sshd", "-D"]

   参考: https://docs.docker.com/engine/examples/running_ssh_service/
2. イメージ作成(build)

   h$ docker build -t [MY-APP-WITH-SSHD-IMAGE]  - <Dockerfile

   ※ "Downloading Packages" で5分ほど反応がないが、待つ。
3. コンテナ作成

   h$ docker run -P -d \
       -v          [HOST-DIR]:[CONTAINER-DIR] \
       --hostname  [MY-APP-HOST] \
       --name      [MY-APP-WITH-SSHD-CONTAINER] \
       [MY-APP-WITH-SSHD-IMAGE]

   • デバッグ方法
     • exit(-1)ですぐ終了する場合、 docker run のコマンドを "tail -f /dev/null" などに置き換えて docker exec -it bash で入ってコマンドラインから

       # /usr/sbin/sshd -D -d

       してみる。
4. コンテナ内にてアプリ用ユーザ [APP-USER](uid=ホストUID)を作成

   h$ docker exec -it [MY-APP-WITH-SSHD-CONTAINER] bash
   c# adduser -u [UID] [APP-USER]
   c# yum install passwd
   c# passwd [APP-USER]

5. sshd 実行

   h$ docker exec -d [MY-APP-WITH-SSHD-CONTAINER] /usr/sbin/sshd -D

6. ssh できることを確認

   h$ docker port [MY-APP-WITH-SSHD-CONTAINER]
   22/tcp -> 0.0.0.0:[DPORT]
   h$ ssh -p [DPORT] [APP-USER]@localhost

   以下、docker 内で:

   c$ mkdir .ssh/
   c$ chmod go-rwx .ssh

7. key-pair をセット

   h$ scp -P [DPORT] ~/.ssh/id_rsa.pub [APP-USER]@localhost:~/.ssh/authorized_keys
   [APP-USER]@localhost's password: *********

   以降、key-pair でログイン可能
8. Rootログイン禁止、Password ログインを禁止

   c$ sudo vi /etc/ssh/sshd_config
   ...
   PermitRootLogin no
   ...
   PasswordAuthentication no
   ...

   下記を改変:
   • ssh Rootログインを許可しているが、これは行わない
   • sshd は起動しない。必要に応じて起動するだけ。
9. term を実行

   h$ docker exec -it [MY-APP-WITH-SSHD-CONTAINER] bash -c 'su - [APP-USER']

   注: docker exec の -u(--user) オプションは、[APP-USER] に docker コンテナに root 権限を与えるようで、/etc/sudoers なども見放題となってしまう。通常のユーザ権限の範囲で実行するには 上にように su する必要があるようだ。

分かっていなかったのでメモ。build するとき、何も考えずに

$ docker build -t [tag] .       # 僕の場合では間違っていた方法

としていたのだけど、この '.' はイメージをを作る際の起点となるようで。 . 以下全データが docker daemon に送られるとのこと。

僕は . 以下に開発リポジトリなど持っていたところ、数G のイメージが 作られてしまった…。はい、アホです。

僕の用途では必要ないので、そういう時は

$ docker build -t [tag] - <Dockerfile

とするのが正解のようだ。

1. image に保存

   $ docker stop myproject-dev
   $ docker rename myproject-dev myproject-dev-before-ubuntu-16.04
   $ docker commit myproject-dev-before-ubuntu-16.04 リポジトリ名:タグ名

2. create

   $ docker create ..

3. start

   $ docker start myproject-dev