userns容器启动失败，如何查找原因？

Question

事实证明，令人惊讶的是，这是 Ubuntu 特有的东西。

原因

问题：虽然内核已cgroups启用（使用检查grep CGROUP /boot/config-$(uname -r)）并cgmanager正在运行，但没有特定于我的用户的 cgroup。您可以通过以下方式检查：

$ 猫 /proc/self/cgroup
11：巨大的：/
10：性能事件：/
9：BLKIO：/
8：冷冻室：/
7：设备：/
6：内存：/
5：cpuacct：/
4：CPU：/
3：名称=系统：/
2：CPU组：/

如果您的 UID 在每个相关行中都给出了，那就没问题，但如果没有定义 cgroup，则每行的第二个冒号后面只会有一个斜杠。

我的问题特定于启动非特权容器。我可以很好地启动特权容器。

事实证明我的问题与lxc-users邮件列表中的此主题。

补救

在 Ubuntu 14.04 上upstart是默认设置，而不是systemd.因此，systemd默认情况下不会安装将安装在基于的发行版上的某些组件。

除此之外，cgmanager我还必须安装两个软件包才能解决我的问题中显示的错误：cgroup-bin和libpam-systemd。坦率地说，我不能 100% 确定前者是严格需要的，所以你可以尝试将其省略并在这里发表评论。

安装软件包并重新启动后，您应该id -u在输出中看到您的 UID（，此处为 1000）：

$ 猫 /proc/self/cgroup
11:hugetlb:/user/1000.user/1.session
10:perf_event:/user/1000.user/1.session
9:blkio:/user/1000.user/1.session
8：冷冻室：/user/1000.user/1.session
7：设备：/user/1000.user/1.session
6：内存：/user/1000.user/1.session
5:cpuacct:/user/1000.user/1.session
4:cpu:/user/1000.user/1.session
3：名称=systemd:/user/1000.user/1.session
2：CPU集：/user/1000.user/1.session

之后，尝试启动来宾容器时的错误变为（为了简洁而进行了修剪）：

lxc-start 1420160065.383 信息 lxc_cgroup - 为 test1 初始化 cgroup 驱动程序 cgmanager
lxc-start 1420160065.419 错误 lxc_start - 无法创建配置的网络
lxc-start 1420160065.446 错误 lxc_start - 无法生成“test1”
lxc-start 1420160065.451 错误 lxc_start_ui - 容器启动失败。

虽然还没有成功，但我们离成功又近了一步。

上面链接的lxc-users线程指出/etc/systemd/logind.conf没有提及三个控制器：net_cls、net_prio和debug。对我来说，只缺少最后一个。不过，更改后您必须重新登录，因为更改将在创建登录会话时生效。

LXC 作者之一的这篇博文给出了下一步：

您的用户虽然可以创建新的用户命名空间，其中 uid 为 0，并且对与该命名空间绑定的资源拥有一些 root 权限，但显然不会在主机上被授予任何额外的权限。

其中一件事是在主机上创建新的网络设备或更改网桥配置。为了解决这个问题，我们编写了一个名为“lxc-user-nic”的工具，它是 LXC 1.0 唯一的 SETUID 二进制部分，并且执行一项简单的任务。它解析配置文件，并根据其内容为用户创建网络设备并桥接它们。为了防止滥用，您可以限制用户可以请求的设备数量以及它们可以添加到的网桥。

一个例子是我自己的 /etc/lxc/lxc-usernet 文件：
stgraber veth lxcbr0 10
这声明用户“stgraber”最多可以创建 10 个 veth 类型设备并将其添加到名为 lxcbr0 的网桥中。

在内核中的用户命名空间和 setuid 工具提供的功能之间，我们已经获得了以非特权方式运行大多数发行版所需的一切。

如果您的用户拥有sudo权限并且您正在使用 Bash，请使用以下命令：

echo "$(whoami) veth lxcbr0 10"|sudo tee -a /etc/lxc/lxc-usernet

并确保类型 ( veth) 与容器配置中的类型匹配，并且桥 ( lxcbr0) 已配置并启动。

现在我们得到另一组错误：

lxc-start 1420192192.775 信息 lxc_start - 克隆新的用户命名空间
lxc-start 1420192192.775 信息 lxc_cgroup - 为 test1 初始化 cgroup 驱动程序 cgmanager
lxc-start 1420192192.923 注意 lxc_start - 在新用户命名空间中切换到 gid/uid 0
lxc-start 1420192192.923 错误 lxc_start - 权限被拒绝 - 无法访问 /home/user。请授予其“x”访问权限，或为容器根添加 ACL。
lxc-start 1420192192.923 错误 lxc_sync - 序列号 1 无效。预期为 2
lxc-start 1420192192.954 错误 lxc_start - 无法生成“test1”
lxc-start 1420192192.959 错误 lxc_start_ui - 容器启动失败。

太棒了，这个可以修复。另一个lxc-users线程由与第一个线程相同的主角铺平了道路。

目前sudo chmod -R o+X $HOME需要进行快速测试，但 ACL 也是一个可行的选择。 YMMV。

Answer 1