☰

権限のないLinuxコンテナを構成する方法は？

tag-icon • tag-icon arch-linux lxc
権限のないLinuxコンテナを構成する方法は？

設定しようとしています。権限のないLXCコンテナそして毎回失敗します。私はガイドのすべての関連するステップに従ったと思います。

  • 一般ユーザーは、権限のないコンテナを作成できます。

    $ sysctl kernel.unprivileged_userns_clone
kernel.unprivileged_userns_clone = 1

  • 制御グループPAMモジュールが有効になっています。

    $ grep -F pam_cgfs.so /etc/pam.d/system-login
session optional pam_cgfs.so -c freezer,memory,name=systemd,unified

  • UIDとGIDのマッピングを設定します。

    $ cat /etc/lxc/default.conf
lxc.idmap = u 0 100000 65536
lxc.idmap = g 0 100000 65536
lxc.net.0.type = veth
lxc.net.0.link = lxcbr0
lxc.net.0.flags = up
lxc.net.0.hwaddr = 00:16:3e:xx:xx:xx
$ cat /etc/subuid
root:100000:65536
$ cat /etc/subgid
root:100000:65536

  • ネットワークが設定されました：

    $ grep --invert-match --regexp='^#' --regexp='^$' /etc/default/lxc-net
USE_LXC_BRIDGE="true"
LXC_BRIDGE="lxcbr0"
LXC_ADDR="10.0.3.1"
LXC_NETMASK="255.255.255.0"
LXC_NETWORK="10.0.3.0/24"
LXC_DHCP_RANGE="10.0.3.2,10.0.3.254"
LXC_DHCP_MAX="253"

  • サービスがよさそうです。

    $ systemctl status --lines=0 --no-pager lxc.service lxc-net.service 
● lxc.service - LXC Container Initialization and Autoboot Code
   Loaded: loaded (/usr/lib/systemd/system/lxc.service; disabled; vendor preset: disabled)
   Active: active (exited) since Fri 2019-03-08 15:31:47 NZDT; 40min ago
     Docs: man:lxc-autostart
           man:lxc
 Main PID: 4147 (code=exited, status=0/SUCCESS)
    Tasks: 0 (limit: 4915)
   Memory: 0B
   CGroup: /system.slice/lxc.service

● lxc-net.service - LXC network bridge setup
   Loaded: loaded (/usr/lib/systemd/system/lxc-net.service; enabled; vendor preset: disabled)
   Active: active (exited) since Fri 2019-03-08 15:31:45 NZDT; 40min ago
 Main PID: 4099 (code=exited, status=0/SUCCESS)
    Tasks: 1 (limit: 4915)
   Memory: 8.4M
   CGroup: /system.slice/lxc-net.service
           └─4121 dnsmasq -u dnsmasq --strict-order --bind-interfaces --pid-file=/run/lxc/dnsm…
  • パッケージが最新の状態で、再起動しました。

それにもかかわらず、コンテナを作成することはできません。

$ lxc-create -n test -t download
lxc-create: test: parse.c: lxc_file_for_each_line_mmap: 100 No such file or directory - Failed to open file "/home/user/.config/lxc/default.conf"
lxc-create: test: conf.c: chown_mapped_root: 3179 No uid mapping for container root
lxc-create: test: lxccontainer.c: do_storage_create: 1310 Error chowning "/home/user/.local/share/lxc/test/rootfs" to container root
lxc-create: test: conf.c: suggest_default_idmap: 4801 You do not have subuids or subgids allocated
lxc-create: test: conf.c: suggest_default_idmap: 4802 Unprivileged containers require subuids and subgids
lxc-create: test: lxccontainer.c: do_lxcapi_create: 1891 Failed to create (none) storage for test
lxc-create: test: tools/lxc_create.c: main: 327 Failed to create container test

この設定に明らかな問題はありますか？~/.config/lxc/default.confはリンクされた記事に言及されておらず、なぜ割り当てられたsubuidとsubgidがないと言うのか理解できません。

追加情報：

  • rootとして実行するとlxc-create機能しますが、これは明示的に通常のユーザーとしてコンテナを作成することです。

  • cp /etc/lxc/default.conf ~/.config/lxc/default.conf構成ファイルに関する苦情は削除されますが、次のメッセージが表示されます。

    lxc-create: 再生時間: conf.c: chown_mapped_root: 3279 lxc-usernsexec 失敗: 対応するファイルまたはディレクトリなし - tty を開けません 該当ファイルまたはディレクトリなし - tt を開けません

答え1

これは新しいプロジェクトですか、それともオプションはありますか？ LXCの代わりにLXDを使うのはどうですか？使いやすく、同じ目的を達成できます。私はlxcを使い始めましたが、非特権コンテナの実行に興味があり、急速に切り替えました。これはLXCでは簡単ではありませんが、LXDではデフォルトです。

始めるにはここを見てください。 https://discuss.linuxcontainers.org/t/comparing-lxd-vs-lxc/24

最後に、インストール/使用してから数ヶ月が経過しましたが、インストールに関する注意事項は次のとおりです。

LXDは非常に急速に発展しているので、UbuntuユーザーはPPAを使用することをお勧めします。

# add-apt-repository ppa:ubuntu-lxc/lxd-stable
# apt-get update
# apt-get dist-upgrade
# apt-get install lxd

このパッケージは、ローカルUnixソケットを介してlxdと通信できるすべてのユーザーを含む新しい「lxd」グループを作成します。 「admin」および「sudoers」グループのすべてのメンバーが自動的に追加されます。ユーザーがこれらのグループの1つのメンバーではない場合は、ユーザーをグループに手動で追加する必要がありますlxd 。

グループメンバーシップはログイン時にのみ適用されるため、ユーザーセッションを閉じて再度開くか、newgrp lxd lxdと対話したいシェルでコマンドを使用する必要があります。

newgrp lxd

https://blog.ubuntu.com/2015/03/20/installing-lxd-and-the-command-line-tool 2018/10/22

私が知っている限り、仮想マシンでLXDを実行することもできるので、作業中のシステムを台無しにすることなくすばやく試すことができます。

あなたが要求した質問に対する正確な答えではありませんが、有用なオプションになったことを願っています。

答え2

この投稿が古い投稿であることを知っていますが、最近同じ問題が発生し、次の具体的なエラーに対処しました。

lxc-create: my-container: conf.c: suggest_default_idmap: 4738 You must either run as root, or define uid mappings
lxc-create: my-container: conf.c: suggest_default_idmap: 4739 To pass uid mappings to lxc-create, you could create
lxc-create: my-container: conf.c: suggest_default_idmap: 4740 ~/.config/lxc/default.conf:
lxc-create: my-container: conf.c: suggest_default_idmap: 4741 lxc.include = /etc/lxc/default.conf
lxc-create: my-container: conf.c: suggest_default_idmap: 4742 lxc.idmap = u 0 100000 65536
lxc-create: my-container: conf.c: suggest_default_idmap: 4743 lxc.idmap = g 0 100000 65536
lxc-create: my-container: lxccontainer.c: do_lxcapi_create: 1869 Failed to create (none) storage for my-container
lxc-create: my-container: tools/lxc_create.c: main: 327 Failed to create container my-container

非常に簡単な修正は次のとおりです。

mkdir -p ~/.config/lxc
touch ~/.config/lxc/default.conf
echo "lxc.include = /etc/lxc/default.conf" >> ~/.config/lxc/default.conf
echo "lxc.idmap = u 0 100000 65536" >> ~/.config/lxc/default.conf
echo "lxc.idmap = g 0 100000 65536" >> ~/.config/lxc/default.conf

ユーザーとグループIDを更新することを忘れないでください。

また、エラーが発生した場合は、次の点に注意してください。

Setting up the GPG keyring
ERROR: Unable to fetch GPG key from keyserver

まさにこれのために：https://github.com/lxc/lxc/issues/3068

この問題を解決するには、-- --keyserver hkp://p80.pool.sks-keyservers.net:80次のようにcreateコマンドの最後に追加します。

lxc-create -t download -n my-container -- --keyserver hkp://p80.pool.sks-keyservers.net:80

これがあなたに少なくとも役立たない場合は、これが他の人に役立つことを願っています。

答え3

クラシックLXCコンテナの権限を非権利に変換する簡単なスクリプトを作成しました。

rootユーザーの2番目のUID - GID（subuid guid）を設定します。

usermod --add-subuids 1258512-1324047 root
usermod --add-subgids 1258512-1324047 root

サブ設定用の代替マニュアル（UID-GID）：

echo "root:1258512:65536" >> /etc/subuid
echo "root:1258512:65536" >> /etc/subgid

権限のないコンテナディレクトリの権限の設定注：すべてのUIDとGIDには、ルート子（uid-gid）のオフセットが追加されています。

subUid=$(grep root /etc/subuid | cut -d: -f2 | head -1) for i in $(find /var/lib/lxc/nameofcontainer/ -print) do
        ## Get numeric owner of current file/dir
        actProp=$(stat -c '%u:%g' "$i")
        actPropUid=$(echo ${actProp} | cut -d: -f1)
        actPropGid=$(echo ${actProp} | cut -d: -f2)
        ## Calculed shifted owner
        newUid=$(( $actPropUid + $subUid ))
        newGid=$(( $actPropGid + $subUid ))
        ## set new owner
        if [ $actPropUid -lt 65536 ] ; then
                chown ${newUid}:${newGid} "$i"
        fi done 
chown ${subUid}:${subUid} /var/lib/lxc/nameofcontainer/

/var/lib/lxc/nameofcontainer/config で権限のない起動オプションを設定します。

echo "lxc.include = /usr/share/lxc/config/debian.userns.conf" >> /var/lib/lxc/${CT}/config
echo "lxc.idmap = u 0 $subUid 65536" >> /var/lib/lxc/${CT}/config
echo "lxc.idmap = g 0 $subUid 65536" >> /var/lib/lxc/${CT}/config

ユーザーネームスペースを有効にする：

echo "kernel.unprivileged_userns_clone=1" > /etc/sysctl.d/80-lxc-userns.conf
sysctl --system

AppArmor LXCのデフォルト設定を更新します。

cat <<EOF >> /etc/lxc/default.conf
lxc.apparmor.allow_incomplete = 1
EOF

cgroup カーネル機能を有効にします。 /etc/default/grub を編集します。

GRUB_CMDLINE_LINUX_DEFAULT="quiet"

到着する：

GRUB_CMDLINE_LINUX_DEFAULT="cgroup_enable=memory swapaccount=1 quiet"

詳細は次のとおりです。 https://github.com/lucapicio/LXC_to_Unprivileged/blob/main/convert.sh

Readmeファイルで必要なすべての情報を見つけることができます。

関連情報