☰

Jenkins chroot環境で「unshare --mount」

tag-icon • tag-icon linux mount unshare
Jenkins chroot環境で「unshare --mount」

私のビルドスクリプトの中には、スクリプトが終了したときにマウントを残さずにマウントを保護するメカニズムとしてマウントネームスペースを使用していました。 名前空間の最後のプロセスが終了すると、非共有マウントポイントは暗黙的にマウント解除されます。。

私のスクリプトには通常、次のセクションが含まれています。

#!/bin/bash
self_ns=$(ls -lh /proc/self/ns/mnt)
init_ns=$(ls -lh /proc/$PPID/ns/mnt)
if [ "${self_ns#*mnt:}" = "${init_ns#*mnt:}" ] ; then
    unshare --mount $0 "$@"
    exit $?
fi

これはしばらくうまくいきましたが、最近Jenkinsビルドサーバーで問題が発生しました。

問題はビルドスクリプト自体がJenkins chroot環境。したがって、スクリプトが実行されると、unshare --mount ...次のエラーで失敗します。

unshare: cannot change root filesystem propagation: Invalid argument

残念ながら、私はこの制限やそれを解決する方法をよく理解していません。コマンドラインでchrootを試みると、このエラーを再現できません。 Jenkinsプラグインがこの問題を引き起こす原因が何であるかわかりません。

最も重要なのは、これらのマウントポイントが終了時に削除されることです。毎回間違いなく。

答え1

ABのコメントに基づいて解決策を見つけました。

ABは次のように書きました。

lxc mount とunshare --mount bash。unshare --mountこれが何を意味するのかわかりませんが、これが原因や回避策（パイプラインにバインドマウントを追加する）を見つけるのに役立つことを願っています。

これに基づいて、これがうまくいかないことがわかりました。

unshare --mount bash -c 'echo hello'

しかし、これはうまくいきます：

mount --bind --make-private / /mnt 
chroot /mnt unshare --mount bash -c 'echo hello'
umount /mnt

答え2

問題の原因は、unshareマウントポイントに対してのみ実行できるルートディレクトリにマウント伝播フラグを設定しようとすることです。 Jenkins chroot環境のルートディレクトリはマウントポイントではありません。

たとえば、

$ unshare -rm mount --make-rprivate /opt
mount: /opt: not mount point or bad option.

完全再現：

#!/bin/bash
try() {
  mount -t tmpfs t /mnt
  mkdir /mnt/t
  for i in /bin /lib* /sbin /usr /home /proc
  do
    mkdir "/mnt/t$i"
    mount --rbind "$i" "/mnt/t$i"
  done
  chroot /mnt/t unshare -m echo OK
}
export -f try
unshare -rm bash -c try

簡単な回避策は、マウントネームスペースの外にマウントされないことです。マウント伝播を設定するためにchrootをエスケープし、chrootの外部でmountコマンドを使用できるとします。

unshare --propagation unchanged -m sh -c \
'nsenter --mount=/proc/self/ns/mnt mount --make-rslave /; echo Do some mounts'

pivot_rootまたはchrootを環境に変換します。

#define _GNU_SOURCE
#include <errno.h>
#include <error.h>
#include <fcntl.h>
#include <sched.h>
#include <stdio.h>
#include <sys/mount.h>
#include <sys/stat.h>
#include <sys/syscall.h>
#include <sys/types.h>
#include <unistd.h>

static int pivot_root(const char *new_root, const char *put_old){
    return syscall(SYS_pivot_root, new_root, put_old);
}

int main(int argc, char **argv) {

    if (unshare(CLONE_NEWNS))
        error(1, errno, "unshare");

    int root = open("/", O_DIRECTORY | O_PATH | O_CLOEXEC);
    if (root < 0) error(1, errno, "open /");

    int ns = open("/proc/self/ns/mnt", O_RDONLY | O_CLOEXEC);
    if (ns < 0) error(1, errno, "open mount namespace");

    if (setns(ns, CLONE_NEWNS))
        error(1, errno, "setns");

    if (fchdir(root))
        error(1, errno, "fchdir");

    if (mount("/", "/", 0, MS_REC|MS_SLAVE, 0))
        error(1, errno, "mount --make-rslave");

    if (mount(".", "proc", 0, MS_REC|MS_BIND, 0))
        error(1, errno, "mount --rbind");

    if (chdir("proc"))
        error(1, errno, "chdir");

    if (pivot_root(".", "proc"))
        error(1, errno, "pivot_root");

    if (umount2("proc", MNT_DETACH))
        error(1, errno, "umount");

    execvp(argv[1], argv + 1);
    error(1, errno, "exec");
}

関連情報