☰

如何配置非特权 Linux 容器？

tag-icon • tag-icon arch-linux lxc
如何配置非特权 Linux 容器？

我正在尝试设置非特权 LXC 容器并且每次都失败。我想我已经遵循了指南中的每个相关步骤：

  • 普通用户可以创建非特权容器：

    $ sysctl kernel.unprivileged_userns_clone
kernel.unprivileged_userns_clone = 1

  • 控制组 PAM 模块已启用：

    $ grep -F pam_cgfs.so /etc/pam.d/system-login
session optional pam_cgfs.so -c freezer,memory,name=systemd,unified

  • 设置 UID 和 GID 映射：

    $ cat /etc/lxc/default.conf
lxc.idmap = u 0 100000 65536
lxc.idmap = g 0 100000 65536
lxc.net.0.type = veth
lxc.net.0.link = lxcbr0
lxc.net.0.flags = up
lxc.net.0.hwaddr = 00:16:3e:xx:xx:xx
$ cat /etc/subuid
root:100000:65536
$ cat /etc/subgid
root:100000:65536

  • 网络已设置：

    $ grep --invert-match --regexp='^#' --regexp='^$' /etc/default/lxc-net
USE_LXC_BRIDGE="true"
LXC_BRIDGE="lxcbr0"
LXC_ADDR="10.0.3.1"
LXC_NETMASK="255.255.255.0"
LXC_NETWORK="10.0.3.0/24"
LXC_DHCP_RANGE="10.0.3.2,10.0.3.254"
LXC_DHCP_MAX="253"

  • 服务看起来不错：

    $ systemctl status --lines=0 --no-pager lxc.service lxc-net.service 
● lxc.service - LXC Container Initialization and Autoboot Code
   Loaded: loaded (/usr/lib/systemd/system/lxc.service; disabled; vendor preset: disabled)
   Active: active (exited) since Fri 2019-03-08 15:31:47 NZDT; 40min ago
     Docs: man:lxc-autostart
           man:lxc
 Main PID: 4147 (code=exited, status=0/SUCCESS)
    Tasks: 0 (limit: 4915)
   Memory: 0B
   CGroup: /system.slice/lxc.service

● lxc-net.service - LXC network bridge setup
   Loaded: loaded (/usr/lib/systemd/system/lxc-net.service; enabled; vendor preset: disabled)
   Active: active (exited) since Fri 2019-03-08 15:31:45 NZDT; 40min ago
 Main PID: 4099 (code=exited, status=0/SUCCESS)
    Tasks: 1 (limit: 4915)
   Memory: 8.4M
   CGroup: /system.slice/lxc-net.service
           └─4121 dnsmasq -u dnsmasq --strict-order --bind-interfaces --pid-file=/run/lxc/dnsm…
  • 这些软件包是最新的，我刚刚重新启动。

即使如此，我也无法创建容器：

$ lxc-create -n test -t download
lxc-create: test: parse.c: lxc_file_for_each_line_mmap: 100 No such file or directory - Failed to open file "/home/user/.config/lxc/default.conf"
lxc-create: test: conf.c: chown_mapped_root: 3179 No uid mapping for container root
lxc-create: test: lxccontainer.c: do_storage_create: 1310 Error chowning "/home/user/.local/share/lxc/test/rootfs" to container root
lxc-create: test: conf.c: suggest_default_idmap: 4801 You do not have subuids or subgids allocated
lxc-create: test: conf.c: suggest_default_idmap: 4802 Unprivileged containers require subuids and subgids
lxc-create: test: lxccontainer.c: do_lxcapi_create: 1891 Failed to create (none) storage for test
lxc-create: test: tools/lxc_create.c: main: 327 Failed to create container test

这个设置有什么明显的问题吗？链接文章中没有提到 ~/.config/lxc/default.conf，我不明白为什么它说我没有分配 subuids 和 subgids。

附加信息：

  • 以 root身份运行lxc-create是可行的，但这明确是关于以普通用户身份创建容器。

  • cp /etc/lxc/default.conf ~/.config/lxc/default.conf摆脱了有关配置文件的抱怨，但会导致以下消息：

    lxc-create：播放时间：conf.c：chown_mapped_root：3279 lxc-usernsexec 失败：没有这样的文件或目录 - 无法打开 tty没有这样的文件或目录 - 无法打开 tt

答案1

这是一个新项目，还是您有选择？为什么不使用 LXD 而不是 LXC - 使用起来更容易，而且您可以达到相同的目的。我开始使用 lxc 并很快进行了切换，因为我对运行非特权容器感兴趣，这在 LXC 中并不容易，但在 LXD 中是默认的。

看一下这里开始： https://discuss.linuxcontainers.org/t/comparing-lxd-vs-lxc/24

距离我上次安装/使用它已经有几个月了，但这里是我的安装笔记：

由于 LXD 发展相当迅速，我们建议 Ubuntu 用户使用我们的 PPA：

# add-apt-repository ppa:ubuntu-lxc/lxd-stable
# apt-get update
# apt-get dist-upgrade
# apt-get install lxd

该软件包创建一个新的“lxd”组，其中包含允许通过本地 unix 套接字与 lxd 通信的所有用户。 “admin”和“sudoers”组的所有成员都会自动添加。如果您的用户不是这些组之一的成员，您需要手动将您的用户添加到该lxd 组。

由于组成员身份仅在登录时应用，因此您需要关闭并重新打开用户会话，或者newgrp lxd 在要与 lxd 交互的 shell 中使用命令。

newgrp lxd

https://blog.ubuntu.com/2015/03/20/installing-lxd-and-the-command-line-tool 2018/10/22

据我所知，您甚至可以在虚拟机中运行 LXD，这样您就可以快速尝试，而不会弄乱您正在使用的系统。

不完全是您所问问题的答案，但我希望您发现它是一个有用的选择。

答案2

我知道这是一篇旧帖子，但我最近遇到了同样的问题，通过遵循我收到的相当具体的错误来解决该问题：

lxc-create: my-container: conf.c: suggest_default_idmap: 4738 You must either run as root, or define uid mappings
lxc-create: my-container: conf.c: suggest_default_idmap: 4739 To pass uid mappings to lxc-create, you could create
lxc-create: my-container: conf.c: suggest_default_idmap: 4740 ~/.config/lxc/default.conf:
lxc-create: my-container: conf.c: suggest_default_idmap: 4741 lxc.include = /etc/lxc/default.conf
lxc-create: my-container: conf.c: suggest_default_idmap: 4742 lxc.idmap = u 0 100000 65536
lxc-create: my-container: conf.c: suggest_default_idmap: 4743 lxc.idmap = g 0 100000 65536
lxc-create: my-container: lxccontainer.c: do_lxcapi_create: 1869 Failed to create (none) storage for my-container
lxc-create: my-container: tools/lxc_create.c: main: 327 Failed to create container my-container

这是一个非常简单的修复：

mkdir -p ~/.config/lxc
touch ~/.config/lxc/default.conf
echo "lxc.include = /etc/lxc/default.conf" >> ~/.config/lxc/default.conf
echo "lxc.idmap = u 0 100000 65536" >> ~/.config/lxc/default.conf
echo "lxc.idmap = g 0 100000 65536" >> ~/.config/lxc/default.conf

请记住更新用户和组 ID

另外，如果您收到错误，请注意：

Setting up the GPG keyring
ERROR: Unable to fetch GPG key from keyserver

正是因为这样：https://github.com/lxc/lxc/issues/3068

要修复它，只需添加-- --keyserver hkp://p80.pool.sks-keyservers.net:80到创建命令的末尾，例如

lxc-create -t download -n my-container -- --keyserver hkp://p80.pool.sks-keyservers.net:80

如果这至少不能帮助您，希望这对其他人有帮助

答案3

我编写了一个简单的脚本来将经典的 LXC 容器特权转换为非特权：

为 root 用户设置第二个 UID - GID（subuid guid）：

usermod --add-subuids 1258512-1324047 root
usermod --add-subgids 1258512-1324047 root

子集（UID-GID）的替代手册：

echo "root:1258512:65536" >> /etc/subuid
echo "root:1258512:65536" >> /etc/subgid

为非特权容器目录设置权限注意：所有UID和GID都添加了root sub(uid-gid)的偏移量

subUid=$(grep root /etc/subuid | cut -d: -f2 | head -1) for i in $(find /var/lib/lxc/nameofcontainer/ -print) do
        ## Get numeric owner of current file/dir
        actProp=$(stat -c '%u:%g' "$i")
        actPropUid=$(echo ${actProp} | cut -d: -f1)
        actPropGid=$(echo ${actProp} | cut -d: -f2)
        ## Calculed shifted owner
        newUid=$(( $actPropUid + $subUid ))
        newGid=$(( $actPropGid + $subUid ))
        ## set new owner
        if [ $actPropUid -lt 65536 ] ; then
                chown ${newUid}:${newGid} "$i"
        fi done 
chown ${subUid}:${subUid} /var/lib/lxc/nameofcontainer/

在 /var/lib/lxc/nameofcontainer/config 中设置非特权启动选项：

echo "lxc.include = /usr/share/lxc/config/debian.userns.conf" >> /var/lib/lxc/${CT}/config
echo "lxc.idmap = u 0 $subUid 65536" >> /var/lib/lxc/${CT}/config
echo "lxc.idmap = g 0 $subUid 65536" >> /var/lib/lxc/${CT}/config

启用用户命名空间：

echo "kernel.unprivileged_userns_clone=1" > /etc/sysctl.d/80-lxc-userns.conf
sysctl --system

更新 AppArmor LXC 的默认配置：

cat <<EOF >> /etc/lxc/default.conf
lxc.apparmor.allow_incomplete = 1
EOF

启用cgroup内核功能；编辑/etc/default/grub

GRUB_CMDLINE_LINUX_DEFAULT="quiet"

到：

GRUB_CMDLINE_LINUX_DEFAULT="cgroup_enable=memory swapaccount=1 quiet"

这里是详细信息： https://github.com/lucapicio/LXC_to_Unprivileged/blob/main/convert.sh

您可以在自述文件中找到所有需要的信息。

相关内容