Red Hat SummitCapítulo 6. Execução de imagens especiais de contêineres
Use este capítulo para aprender sobre alguns tipos especiais de imagens de recipientes. Estas incluem:
-
Toolbox: Ao invés de sobrecarregar um sistema host instalando ferramentas necessárias para depurar problemas ou monitorar recursos, você pode executar o comando
toolbox. A Toolbox inicia uma imagem de containersupport-toolsque contém ferramentas que você pode usar para executar relatórios ou diagnosticar problemas no host. -
Runlabels: Algumas imagens de contêineres têm rótulos incorporados que lhe permitem executar esses contêineres com opções e argumentos pré-definidos. O comando
podman container runlabel <label>, permite executar o comando definido naquele<label>para a imagem do contêiner. Os rótulos suportados sãoinstall,runeuninstall.
6.1. Solução de problemas de contentores com caixa de ferramentas
Em vez de instalar ferramentas de solução de problemas diretamente em seu sistema RHEL 8, o utilitário toolbox oferece uma maneira de adicionar temporariamente essas ferramentas, e depois descartá-las facilmente quando você estiver pronto. O utilitário toolbox funciona por:
-
Trazendo a imagem
registry.redhat.io/rhel8/support-toolspara seu sistema local. - Iniciando um recipiente a partir da imagem, depois rodando uma concha dentro do recipiente a partir do qual você pode acessar o sistema hospedeiro.
O recipiente support-tools permite que você o faça:
-
Executar comandos que não podem ser instalados no sistema hospedeiro, tais como
sosreport,strace, outcpdump, de uma forma que lhes permita agir no sistema hospedeiro. - Instale mais software dentro do contêiner para usar no sistema host.
- Descarte o recipiente quando estiver pronto.
O seguinte ilustra uma típica sessão toolbox.
Procedimento
Certifique-se de que os pacotes
toolboxepodmanestejam instalados:lista de módulos de yum - ferramentas para contêineres
# lista de módulos de yum - ferramentas para contêineresCopy to Clipboard Copied! Toggle word wrap Toggle overflow Para instalar o conjunto completo de ferramentas de contêineres, digite:
Módulo yum instala ferramentas para container -y
# Módulo yum instala ferramentas para container -yCopy to Clipboard Copied! Toggle word wrap Toggle overflow Execute o comando da caixa de ferramentas para puxar e executar a imagem
support-tools(inserindo suas credenciais do Portal do Cliente da Red Hat quando solicitado):Copy to Clipboard Copied! Toggle word wrap Toggle overflow Abra uma concha de bash para executar comandos dentro do contêiner:
bash-4.4#
# bash-4.4#Copy to Clipboard Copied! Toggle word wrap Toggle overflow De dentro do container, o sistema de arquivo raiz no host está disponível no diretório
/host. Os outros diretórios mostrados estão todos dentro do contêiner.ls /
# ls / bin dev home lib lost+found mnt proc run srv tmp var boot etc host lib64 media opt root sbin sys usrCopy to Clipboard Copied! Toggle word wrap Toggle overflow Tente executar um comando dentro de seu contêiner. O comando
sosreportpermite que você gere informações sobre seu sistema para enviar ao suporte da Red Hat:Copy to Clipboard Copied! Toggle word wrap Toggle overflow Note que o comando
sosreportsalva o relatório para o anfitrião (/host/var/tmp/sosreport-<ID>).Instale um pacote de software dentro do recipiente, para adicionar ferramentas que ainda não estejam no recipiente. Por exemplo, para obter um núcleo de um processo em execução no host, instale os pacotes
procpsegcore, usepspara obter o ID do processo de um daemon em execução, depois usegcorepara obter um núcleo de um dump:Copy to Clipboard Copied! Toggle word wrap Toggle overflow -
Para deixar o recipiente e voltar para o anfitrião, digite
exit. O arquivo é salvo em/host/tmp/chronyd.core.809e está disponível em/tmp/chronyd.core.809no host. Para remover a caixa de ferramentas-root container, digite:
podman rm toolbox-root
# podman rm toolbox-rootCopy to Clipboard Copied! Toggle word wrap Toggle overflow
Você pode alterar o registro, a imagem ou o nome do recipiente utilizado pela caixa de ferramentas, acrescentando o seguinte:
-
REGISTRY: Alterar o registro a partir do qual a imagem da caixa de ferramentas é retirada. Por exemplo
REGISTRY=registry.example.com -
IMAGE: Mude a imagem que é utilizada. Por exemplo,
IMAGE=mysupport-tools -
TOOLBOX_NAME: Alterar o nome atribuído ao recipiente em funcionamento. Por exemplo,
TOOLBOX_NAME=mytoolbox
Na próxima vez que você executar toolbox, serão utilizados os novos valores do arquivo .toolboxrc.
6.1.1. Privilégios de abertura para o anfitrião
Quando você executa outros comandos de dentro do contêiner support-tools (ou de qualquer contêiner privilegiado), eles podem se comportar de forma diferente do que quando executados em um contêiner não-privilegiado. Embora sosreport possa dizer quando ele está rodando em um contêiner, outros comandos precisam ser ditos para agir no sistema hospedeiro (o diretório /host ). Aqui estão exemplos de características que podem ou não estar abertas para o host a partir de um contêiner:
-
Privileges: Um container privilegiado (
--privileged) executa aplicações como usuário root no host por padrão. O contêiner tem esta capacidade porque roda com um contexto de segurançaunconfined_tSELinux. Assim você pode, por exemplo, excluir arquivos e diretórios montados do host que são de propriedade do usuário root. -
Process tables: Ao contrário de um contêiner normal que só vê os processos rodando dentro do contêiner, rodar um comando
ps -edentro de um contêiner privilegiado (com o conjunto--pid=host) permite que você veja cada processo rodando no host. Você pode passar um ID de processo do host para comandos que rodam no contêiner privilegiado (por exemplo,kill <PID>). Com alguns comandos, entretanto, podem ocorrer problemas de permissões quando tentam acessar processos a partir do contêiner. -
Network interfaces: Por padrão, um recipiente tem apenas uma interface de rede externa e uma interface de rede de loopback. Com interfaces de rede abertas para o host (
--net=host), você pode acessar essas interfaces de rede diretamente de dentro do contêiner. -
Inter-process communications: A instalação IPC no host é acessível de dentro do contêiner privilegiado. Você pode executar comandos como
ipcspara ver informações sobre filas de mensagens ativas, segmentos de memória compartilhada e conjuntos de semáforos no host.
'%20d='M201.5%20305.5c-13.8%200-24.9-11.1-24.9-24.6%200-13.8%2011.1-24.9%2024.9-24.9%2013.6%200%2024.6%2011.1%2024.6%2024.9%200%2013.6-11.1%2024.6-24.6%2024.6zM504%20256c0%20137-111%20248-248%20248S8%20393%208%20256%20119%208%20256%208s248%20111%20248%20248zm-132.3-41.2c-9.4%200-17.7%203.9-23.8%2010-22.4-15.5-52.6-25.5-86.1-26.6l17.4-78.3%2055.4%2012.5c0%2013.6%2011.1%2024.6%2024.6%2024.6%2013.8%200%2024.9-11.3%2024.9-24.9s-11.1-24.9-24.9-24.9c-9.7%200-18%205.8-22.1%2013.8l-61.2-13.6c-3-.8-6.1%201.4-6.9%204.4l-19.1%2086.4c-33.2%201.4-63.1%2011.3-85.5%2026.8-6.1-6.4-14.7-10.2-24.1-10.2-34.9%200-46.3%2046.9-14.4%2062.8-1.1%205-1.7%2010.2-1.7%2015.5%200%2052.6%2059.2%2095.2%20132%2095.2%2073.1%200%20132.3-42.6%20132.3-95.2%200-5.3-.6-10.8-1.9-15.8%2031.3-16%2019.8-62.5-14.9-62.5zM302.8%20331c-18.2%2018.2-76.1%2017.9-93.6%200-2.2-2.2-6.1-2.2-8.3%200-2.5%202.5-2.5%206.4%200%208.6%2022.8%2022.8%2087.3%2022.8%20110.2%200%202.5-2.2%202.5-6.1%200-8.6-2.2-2.2-6.1-2.2-8.3%200zm7.7-75c-13.6%200-24.6%2011.1-24.6%2024.9%200%2013.6%2011.1%2024.6%2024.6%2024.6%2013.8%200%2024.9-11.1%2024.9-24.6%200-13.8-11-24.9-24.9-24.9z'/%3e%3c/svg%3e){kind=small}