容器故障排除与安全实践指南

# 容器故障排查与安全实践 ## 1. 容器构建结果检查 在构建容器镜像时，可能会遇到各种错误。例如，尝试构建一个名为 `test3` 的镜像时： ```bash $ buildah build -t test3 . ``` 执行上述命令可能会出现如下错误： ``` STEP 1/4: FROM local-registry.example.com/ubi8 Trying to pull local-registry.example.com/ubi8:latest... error creating build container: initializing source docker:// local-registry.example.com/ubi8:latest: reading manifest latest in local-registry.example.com/ubi8: unauthorized: authentication required ERRO[0000] exit status 125 ``` 从错误信息可以看出，我们没有权限从目标镜像仓库拉取镜像，需要使用有效的认证令牌进行身份验证才能访问。 ### 解决方案 使用 `podman login` 或 `buildah login` 命令对镜像仓库进行身份验证以获取令牌，或者提供包含有效令牌的认证文件。 ## 2. 使用 Buildah 原生命令进行故障排查 在运行 Buildah 命令时，通常会将其放在 shell 脚本或管道中执行。以 Bash 作为解释器为例，默认情况下，Bash 会执行脚本直到结束，无论中间是否出现错误。这种行为可能会在脚本中的 Buildah 指令失败时产生意外错误。 ### 最佳实践 在脚本开头添加以下命令： ```bash set -euo pipefail ``` 该命令的作用如下： - `-e`：如果管道或单个命令失败，shell 立即退出。 - `-o pipefail`：如果管道中的命令失败，shell 以产生非零退出代码的最右侧命令的错误代码退出。 - `-u`：在参数展开期间，将未设置的变量和参数视为错误，避免未设置变量的展开问题。 ### 示例脚本 以下是一个在 Fedora 镜像上构建简单 httpd 服务器的脚本： ```bash #!/bin/bash set -euo pipefail # Trying to pull a non-existing tag of Fedora official image container=$(buildah from docker.io/library/fedora:non-existing-tag) buildah run $container -- dnf install -y httpd; dnf clean all -y buildah config --cmd "httpd -DFOREGROUND" $container buildah config --port 80 $container buildah commit $container custom-httpd buildah tag custom-httpd registry.example.com/custom-httpd:v0.0.1 ``` 故意设置了错误的镜像标签，执行脚本会得到如下结果： ```bash $ ./custom-httpd.sh Trying to pull docker.io/library/fedora:non-existing-tag... initializing source docker://fedora:non-existing-tag: reading manifest non-existing-tag in docker.io/library/fedora: manifest unknown: manifest unknown ERRO[0001] exit status 125 ``` 从输出可以看出，Buildah（以及使用 Buildah 库实现构建的 Podman）产生的消息与使用 Dockerfile/Containerfile 进行标准构建时相同，只是没有提及构建步骤。 ### 解决方案 找到用于构建过程的有效标签。可以使用 `skopeo list-tags` 命令查找给定仓库中所有可用的标签。 ## 3. 使用 nsenter 进行高级故障排查 当容器在运行时出现错误，而镜像中又没有合适的故障排查工具时，可以使用 Linux 原生工具 `nsenter`。它可以让我们在访问主机工具的同时，在一个或多个命名空间内执行命令。 ### nsenter 主要选项和参数 运行 `nsenter --help` 命令可以查看其主要选项和参数： ```bash $ nsenter --help Usage: nsenter [options] [<program> [<argument>...]] Run a program with namespaces of other processes. Options: -a, --all enter all namespaces -t, --target <pid> target process to get namespaces from -m, --mount[=<file>] enter mount namespace -u, --uts[=<file>] enter UTS namespace (hostname etc) -i, --ipc[=<file>] enter System V IPC namespace -n, --net[=<file>] enter network namespace -p, --pid[=<file>] enter pid namespace -C, --cgroup[=<file>] enter cgroup namespace -U, --user[=<file>] enter user namespace -T, --time[=<file>] enter time namespace -S, --setuid <uid> set uid in entered namespace -G, --setgid <gid> set gid in entered namespace --preserve-credentials do not touch uids or gids -r, --root[=<dir>] set the root directory -w, --wd[=<dir>] set the working directory -F, --no-fork do not fork before exec'ing <progra ```