この連載は、「LXCで学ぶコンテナ入門」というタイトルです。序盤を除くと、LXC自身を紹介するというよりは、Linuxカーネルに実装されているコンテナ関連の機能を紹介をすることが多く、カーネルの機能を紹介する際に、実行例でLXCを使ってきました。その後、LXCを開発しているLinuxContainersプロジェクトからは、コンテナマネージャとしてLXDの開発がスタートし、この連載でもLXDを使ってカーネルの機能を説明することがありました。 LXDは、コンテナと仮想マシンの両方を管理できるマネージャソフトウェアです。LXCもLXDも、OS環境を起動させるシステムコンテナを扱うことを主眼に開発されています。 gihyo.jpでは、LXDについては本連載ではなく、Ubuntu Weekly Recipeで柴田充也さんが頻繁に取り上げており、基本的な操作から応用まで幅広い話題が紹介されています。
Open Source Summit Japan 2017 で聞いた話に shiftfs の話があって、興味を持ったので試してみました。この機能の前提機能なんかに関する前提知識に欠けているため、以下には間違いが含まれている可能性が大きいです。是非指摘を頂きたいと思います。試してみただけで内部の処理とかは書いてませんよw 下に関連情報を挙げておきます (こちらを直接見たほうがいいかも)。 Container Interfaces for Storage - Are We There Yet? (Open Source Summit の James Bottomley 氏のスライド) shiftfs: uid/gid shifting filesystem (s_user_ns version) (lwn.net) Unprivileged Build Containers (James Bo
ブログ、一ヶ月ぶりのようです。 @udzura です。ところでみなさんはコンテナですよね？ そういう感じです。 ここ最近のアウトプットをまとめたりしておきます。先に行っておきますがどれもLinuxコンテナの話です。 6月半ばに、第11回 コンテナ型仮想化の情報交換会＠大阪 にお呼びいただいて、話してきました。なぜか一時間話しました。 ct-study.connpass.com 割とこの時点での自分がHaconiwaとFastContainerでやってきたことの集大成を出せたみたいな感じで、なおかつ日本のオルタナティヴ・ロックの話ができたので良かったです。お呼びいただいた、 @TenForward さんに感謝です。 speakerdeck.com そろそろ numbergirl って名前のミドルウェアを書こうと思います。 コンテナ勉強会は、質問も前向きかつ深いものが多くて、また各社の現場のL
今回は、cgroupを操作したり、コンテナ特有の値の/proc以下のファイルを提供したりするLXC用のソフトウェアを紹介したいと思います。 LXCでは設定ファイル内でcgroupの設定を行い、コンテナに対するリソース制限を行います。この場合、cgroup操作はコンテナの外で行われますので、必ずしもコンテナ内でcgroupを操作する必要はありません。 しかし、LXCではコンテナ内でさらにコンテナを起動する「コンテナのネスト」をサポートしています。この場合、コンテナ内で起動するコンテナに対してリソース制限を行うために、コンテナ内でcgroupを操作する必要がでてきます。つまりコンテナ内でcgroupfsツリーを操作しなければなりません。 LXCでは、最初に第11回で説明したlxc.mount.autoという設定を使用して、ホストのcgroupfsをバインドマウントすることにより、コンテナ内にc
YAPC::ASIA Hachioji 2016 mid in Shinagawa
LXC 1.1をのんびり紹介しているうちに、Ubuntu 16.04 LTSに向けて、次のバージョンのリリースが間近になってしまいました。うかうかしているとLXC 1.1の紹介が終わらないうちに、LXC 1.1がEOLになってしまいそうなので、慌てて今回の記事を書きました。 LXC 1.1の次は1.2かと思っていたら、linuxcontainers.org関連のプロダクトであるLXC、LXD、LXCFSすべてをバージョン2.0で揃えてリリースするようです。もうひとつ、cgmanagerというプロダクトがありましたが、こちらはLXCFSの進化に伴い不要となりましたので、今後は開発が終息していくようです。 1.1から2.0はそれほど大きな変更はなく、ライブラリについてもABIレベルでの互換性が維持されるようです。もちろん第29回と今回、LXC 1.1の新機能として紹介した機能はそのまま2.0で
前回以来、コンテナに関する勉強会を東京で開催したり、その他の勉強会で登壇したりしていたので、気がつけば3ヵ月も間隔が空いてしまいました。この勉強会ではLinuxコンテナの主要な機能である名前空間のカーネル内の実装のお話や、Docker関連のお話、Linux以外のコンテナ技術に関する話題も色々とお話いただいて、かなり面白い勉強会になりました。勉強会ページで一部の動画を公開していますので、興味のある方はぜひご覧ください。 この間に、この連載で何度も『次のリリースである1.0.8で修正されます』と言ったものの、さっぱりリリースされる気配のなかった1.0.8がようやくリリースされました。セキュリティホールの修正が含まれていますので1.0.7をお使いの方はバージョンアップをしてください。1.0.7から1年近く間隔が空いていますので、変更点が膨大です。変更点はlinuxcontainers.orgのN
これはだいぶ前に書いたエントリです。MINCS作者による最新の解説があるのでそちらもご覧ください。 (2016-11-21追記) コンテナは使いたいけど、たくさんコンテナを起動すると結局それぞれのコンテナに対するセキュリティアップデートなどのメンテナンスは必要だし、コンテナ内独自のプログラムやライブラリ以外はホストと共有したいよね、って話が出てきたりします。みんな考えることは同じで、bind mount を使えば良いよね、って話はでてきてました。 こないだもブログで紹介した kazuho さんの jailing 私が LXC でも結構簡単にできるよ、っていう提案を兼ねて作った lxc-bind こないだのLinuxConでもDockerでたくさんのオプションを並べて、色々工夫して bind mount を使ってやってる発表もありました (Using Docker for existing
お手軽に軽量な隔離環境を作るための kazuho さんの jailing とか、それにリソース管理の仕組みを加えた matsumotory さんの virtualing いいですね。 コンテナほどの隔離性は不要だし、一々イメージを落としてきて構築とかやるにはちょっと重たいなというシーンもあるわけで、そういう時に chroot、bind mount はお気軽で良いですし、それに cgroup でのリソース管理を加えてもそんなに重くはなりません。(docker だと他にも色々考えないとダメだし) こういうのを思いついてサクッと作れてしまう才能がうらやましいわけですが、LXC を使えば才能がない私でも、何かをサクッと作る能力も努力もなく、もう少し隔離度を上げつつある程度の軽さを残した環境を LXC を使って作れますので、ここで紹介しましょう。 LXC 使っちゃったら、前述の軽さがなくなるから意味
Kazuho's Weblog: jailing - chroot jailを構築・運用するためのスクリプトを書いた virtuald + ipalias + cgroup + これで快適に「そこそこ隔離したサービス環境」作っていきましょー / “Kazuho's Weblog: jailing - chroot jailを構築・運用するためのス…” http://t.co/aweVwa9kDX— MATSUMOTO, Ryosuke (@matsumotory) 2015, 5月 14 まずは昨日サクッとこういうのを作られたkazuhoさんのjailingを見ていて、こういうのやっぱり面白いなー素晴らしいなーと思いつつ、そういえば僕もmrubyでこういうの書くとか宣言していたなーというの思い出しました。 mruby-cgroup、mruby-capability、mruby-criuがで
年末を迎えて今年もAdvent Calendarが多数作られていますね。この連載の今回の記事はLinuxカーネルの機能を紹介するので、Linux Advent Calendar 2014の16日目の記事としても書きました。興味深い記事が並んでいて勉強になりますね。 さて、第13回から3回、田向さんにPlamo LinuxでのLXCの利用に焦点を当てて記事を書いていただきました。テンプレート内部の詳しい解説から、Plamo Linuxでのコンテナの作成、ネットワーク構成の応用的な解説、コンテナでサウンドを扱う話まで、面白い記事が続きましたね。 ネットワークの話やサウンドの話はPlamo Linux以外でも十分に応用ができる話でしたし、サウンドの記事に関してはサウンド以外のデバイスをコンテナで使う場合にも非常に参考になる話だったと思います。 田向さん担当の記事のうち、第14回と第15回では一般
今回は前回紹介できなかったセキュリティ、ネットワーク系の設定を説明していきたいと思います。 セキュリティ機能 ケーパビリティ コンテナがrootで実行されている場合でも、コンテナ内では一部の特権を認めたくない場合はあるでしょう。このような場合、Linuxカーネルの持つケーパビリティの機能を使ってコンテナの特権を制御できます。 ケーパビリティはcapabilities(7)にあるようにCAP_SYS_MODULEというようなCAP_で始まる大文字で表されます。LXCではこの冒頭のCAP_を除いた文字列を小文字で指定します。たとえばCAP_SYS_MODULEの場合はsys_moduleと指定します。 ケーパビリティの指定は以下のどちらかで行います。各設定ともに、スペース区切りで一行に複数の値を指定できます。 lxc.cap.drop コンテナ内で削除したいケーパビリティを指定します。 lxc
2014-09-19 アンケートの集計を公開しました。2014-09-17 全てのセッションの動画を公開しました。2014-09-09 動画の公開を開始しました。編集できたものから追加していきます。2014-09-08 関連するブログのエントリへのリンクを追加しました2014-09-08 ページを作成しました
今回は前回紹介できなかったコマンドの紹介を続けます。その後、Ubuntu 14.04 LTSでcgroupを管理するために導入されたcgmanagerについて少し紹介します。 アプリケーションコンテナ lxc-startを使ったアプリケーションコンテナの起動 第8回でlxc-startコマンドの使い方を紹介しました。その際に紹介したのはシステムコンテナを起動する方法でした。lxc-startは特に指定しなければコンテナイメージ内の/sbin/initを実行します。 ここでコマンドを指定するとlxc-startはアプリケーションコンテナとして指定したコマンドを実行します。 $ sudo lxc-start -n ct01 -- /bin/bash bash: cannot set terminal process group (-1): Inappropriate ioctl for dev
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
