docker - 在 Dockerfile 中使用 mount 命令时出错

Question

以下 Dockerfile 在构建时抛出错误。有没有办法可以使用mount与 overlay在构建容器时？

Dockerfile

FROM ubuntu:15.10

RUN mkdir /var/data \
 && mkdir /var/data/delta \
 && mkdir /var/data/delta/changes \
 && mkdir /var/data/delta/workdir \
 && mkdir /var/data/merged \
 && mkdir /var/data/lower

RUN mount -t overlay overlay -o lowerdir=/var/data/lower,upperdir=/var/data/delta/changes,workdir=/var/data/delta/workdir /var/data/merged

错误

...

Step 2 : RUN mount -t overlay overlay -o lowerdir=/var/data/lower,upperdir=/var/data/delta/changes,workdir=/var/data/delta/workdir /var/data/merged
 ---> Running in 37434cc88e15
mount: overlay is write-protected, mounting read-only
mount: cannot mount overlay read-only
Removing intermediate container 37434cc88e15
The command '/bin/sh -c mount -t overlay overlay -o lowerdir=/var/data/lower,upperdir=/var/data/delta/changes,workdir=/var/data/delta/workdir /var/data/merged' returned a non-zero code: 32

备注

我尝试在 ubuntu:15.10 中运行以下挂载命令容器，它给出了同样的错误。如果容器以 --privileged 启动该命令有效。

Answer 1

Is there a way to be able to use mount with overlay while building the container?

简答: No, and there won't be any time soon .

似乎共识是，构建期间的任何特权操作都会破坏图像可移植性契约，因为它可能会修改主机系统。如果一个不同的系统然后拉取并运行这样的镜像，而不是从源代码构建它，从结果容器的角度来看，主机将处于无效状态。

请记住，docker build 通过完成 Dockerfile 中的每个步骤/层来工作。使用(松散地)这些 Action :

将最后一步/层的图像作为新容器运行

完成容器内当前步骤/层的操作

将容器(包括新状态)提交到新镜像

重复任何进一步的步骤

因此，在这种情况下，特权构建操作显然有可能突破临时容器并接触主机。没有布埃诺。

那么，怎么办？

解决方案1(烘烤安装)

更新 - 2015-10-24:失败。有关工作实现，请参阅下面的解决方案 2。

注意:YMMV 取决于 Docker 版本、存储/图形驱动程序等。这是我的 docker 信息，用于比较:

Containers: 12
Images: 283
Storage Driver: overlay
 Backing Filesystem: extfs
Execution Driver: native-0.2
Logging Driver: json-file
Kernel Version: 4.1.10-040110-generic
Operating System: Ubuntu 15.04
CPUs: 4
Total Memory: 7.598 GiB
Name: agthinkpad
ID: F6WH:LNV4:HH66:AHYY:OGNI:OTKN:UALY:RD52:R5L5:ZTGA:FYBT:SWA4
WARNING: No swap limit support

好吧，我惊讶地发现几乎不可能通过 docker commit 将挂载烘焙到图像中。 /proc文件系统，其中装载元数据的文件表示由内核写入(更具体地说 /proc/self/mounts ，来自容器内)，似乎根本没有被 Docker 持久化。无论如何，据我所知 — /var/lib/docker/overlay/<container-root-lower>/root/proc为空，并且 /var/lib/docker/overlay/<container-root-upper>/upper/proc不存在。

我以为 /proc可以通过卷进行操作，并且确实找到了一些 2 年以上的引用来绑定(bind)安装 /proc:/proc实现可能没有人甚至应该尝试的事情(像这样，可能吗？😉)，但似乎这不再起作用了。正在尝试绑定(bind)挂载 /proc即使使用 docker run --privileged 到主机目录，甚至只是制作一个卷现在也是一个 fatal error :

Code: System error

Message: "/var/lib/docker/overlay/c091a331f26bed12f22f19d73b139ab0c5b9971ea24aabbfad9c6482805984c9/merged/proc"
 cannot be mounted because it is located inside "/proc"

Frames:
---
0: setupRootfs
Package: github.com/opencontainers/runc/libcontainer
File: rootfs_linux.go@37
---
1: Init
Package: github.com/opencontainers/runc/libcontainer.(*linuxStandardInit)
File: standard_init_linux.go@52
---
2: StartInitialization
Package: Error response from daemon: Cannot start container c091a331f26bed12f22f19d73b139ab0c5b9971ea24aabbfad9c6482805984c9: [8] System error: "/var/lib/docker/overlay/c091a331f26bed12f22f19d73b139ab0c5b9971ea24aabbfad9c6482805984c9/merged/proc" cannot be mounted because it is located inside "/proc"

就不需要在通过启动/入口点脚本从镜像生成的容器内运行 mount ... 的方法而言，我真的不知道从哪里开始。因为 /proc/self/mounts由内核管理，更不用说不可写了，这可能永远不可能。希望我忽略了一些东西，有人可以指出我正确的方向。

如果您*必须*在图像编译期间执行此操作，您可以通过执行以下操作来滚动您自己的构建器脚本:

— 或者，首先创建一个 `Dockerfile` 并使用股票构建器:

FROM mybaseimg|从头开始

复制 ./a/tmp/a
跑富
…

`docker build -t mynewimg .`

— 使用以下组合编写 shell 脚本:`CID=$(docker create mynewimg)`、[`docker cp ...`](https://docs.docker.com/reference/commandline/cp/)、`docker start $CID`、`docker exec|run ... $CID ...`、`docker stop $CID`、`docker commit $CID mynewimg` 等 *(编辑:最好使用 [API](https://docs. docker.com/reference/api/remote_api_client_libraries/)!)*

当您需要应用特权操作时，您可以升级 `docker run` 命令，但是 `--privileged` 在这里完全是矫枉过正。如果你*认为*你不应该需要`--privileged`来做你几乎肯定*不需要*的东西。对于 OverlayFS/AuFS 挂载，你需要使用 `--cap-add=[SYS_ADMIN]` 初始化 `docker run`，对于带有 `AppArmor` 的 Ubuntu(以及其他可能的)主机，你还需要 `--security- opt=[apparmor:unconfined]`(或者最好是放宽必要限制的 AppArmor 配置文件，而不是 `unconfined`)。我不确定`SELinux`。


解决方案2(运行时挂载)

host$ uname -a

Linux agthinkpad 4.1.10-040110-generic #201510030837 SMP Sat Oct 3 12:38:41 UTC 2015 x86_64 x86_64 x86_64 GNU/Linux

host$ mkdir/tmp/overlay-test && cd/tmp/overlay-test

./Dockerfile :

FROM debian:jessie

RUN apt-get update && apt-get install -y curl jq

WORKDIR /usr/local/sbin

# Locate and fetch the latest version of gosu
RUN ["/bin/bash", "-c", "curl -o ./gosu -sSL \"$( \
      curl -s https://api.github.com/repos/tianon/gosu/releases/latest \
      | jq --raw-output \
        '.assets[] | select(.name==\"gosu-'$(dpkg --print-architecture)'\") | .browser_download_url' \
    )\" && chmod +x ./gosu"]

COPY ./entrypoint.sh ./entrypoint
RUN chmod +x ./entrypoint

# UPPERDIR and WORKDIR **MUST BE ON THE SAME FILESYSTEM**, so
#  instead of creating a VOLUME for UPPERDIR we have to create a 
#  parent directory for both UPPERDIR and WORKDIR, and then make
#  it the VOLUME. 
RUN ["/bin/bash", "-c", "mkdir -p /var/overlay-test/{lower,upper/{data,work}} /mnt/overlay-test"]
VOLUME /var/overlay-test/upper

# Create a file named FOO in the lower/root branch
RUN touch /var/overlay-test/lower/FOO

ENTRYPOINT ["entrypoint"]

./entrypoint.sh :

#!/bin/bash
set -e

cd /var/overlay-test
mount -t overlay -o lowerdir=lower,upperdir=upper/data,workdir=upper/work overlay /mnt/overlay-test
chown -R "$DUID":"$DGID" ./
chown root: ./upper/work
chmod 0750 ./upper/work

cd /mnt/overlay-test
exec gosu "$DUID":"$DGID" $@

host$ docker build -t 覆盖测试 ./
Successfully built 582352b90f53
好的，让我们测试一下!

注:在 Ubuntu 15.04 主机下，我无法删除(覆盖覆盖)任何存在于 lowerdir 中的文件。通过容器内的挂载目录。这个错误似乎是罪魁祸首:
https://bugs.launchpad.net/ubuntu/+source/linux/+bug/1480411 — 编辑: rm突然工作，我可以在 upper/data 中看到字 rune 件，所以我只能假设这是固定的并且我收到了更新的包。

host$ docker run -it --name=overlay-test --env="DUID=$(id -u)"--env="DGID=$(id -g)"--cap-add=SYS_ADMIN --security- opt=apparmor:unconfined overlay-test/bin/bash

overlay-test$ ID
uid=1000 gid=1000 groups=1000
overlay-test$ 坐骑 | grep '/mnt/覆盖测试'
overlay on /mnt/overlay-test type overlay (rw,relatime,lowerdir=lower,upperdir=upper/data,workdir=upper/work)
overlay-test$ 密码
/mnt/overlay-test
overlay-test$ ls -Al | sed '/^t/d'

-rw-r--r-- 1 1000 1000    0 Oct 24 03:54 FOO

overlay-test$touch BAR

overlay-test$ls -Al | sed '/^t/d'

-rw-r--r-- 1 1000 1000    0 Oct 24 04:21 BAR-rw-r--r-- 1 1000 1000    0 Oct 24 03:54 FOO

overlay-test$ls -Al /var/overlay-test/{lower/,upper/*} | sed '/^t/d'

ls: cannot open directory /var/overlay-test/upper/work: Permission denied

/var/overlay-test/lower:
-rw-r--r-- 1 1000 1000 0 Oct 24 03:54 FOO

/var/overlay-test/upper/data:
-rw-r--r-- 1 1000 1000 0 Oct 24 04:21 BAR

到目前为止一切顺利……让我们尝试从另一个容器导入卷:

overlay-test$ 导出

host$ docker run --rm --user="$(id -u):$(id -g)"--volumes-from=overlay-test debian:jessie/bin/bash -c "ls -Al/var/overlay -test/upper/* | sed '/^t/d'"

ls: cannot open directory /var/overlay-test/upper/work: Permission denied

/var/overlay-test/upper/data:
-rw-r--r-- 1 1000 1000 0 Oct 24 05:32 BAR

成功!请注意，您也可以 RUN echo安装规范 >> /etc/fstab在您的 Dockerfile然后 mount -a在入口点脚本中，但根据我的经验，这种方法很古怪。我不知道为什么，但由于这两种方法之间没有功能差异，我没有费心进一步调查。

清理: host$ docker rm -v 覆盖测试 && docker rmi 覆盖测试

Docker 中容器运行时安全性的文档:

https://docs.docker.com/reference/run/#security-configuration
https://docs.docker.com/reference/run/#runtime-privilege-linux-capabilities-and-lxc-configuration