+7 (495) 320-70-49
- Назад
- Телефоны
- +7 (495) 320-70-49
- Заказать звонок
info@proxmox.su
Москва, Бакунинская улица, 69с1
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Unprivileged containers, Proxmox Виртуальная Среда

Vedat Nommaz Guest	#1 0 21.02.2016 07:55:00 Я понимаю, что это находится в техническом превью с версии 4.1, но не смог найти никакой документации. Как мы можем поэкспериментировать с этой новой функцией?

Jim J Guest	#2 0 09.03.2017 21:15:00 Так что с моей точки зрения это в основном означает: пока не используйте непривилегированные контейнеры.

Virtualizer

Guest

23.02.2017 00:04:00

Это безумие! Почему восстановление не работает без этих вещей, если они не могут восстановить? Можно объяснить с помощью отдельной опции переключателя? Например: у клиента проблемы с запуском Plesk, возникли проблемы с аparamor - монтированием! Теперь они находят в одной документации только возможность изменить сервер на "непривилегированный сервер", но кнопка заблокирована. Снова прочитали форумы и узнали, что нужно сделать резервную копию сервера и восстановить его. Из-за этого они удаляют контейнер и восстанавливают его, но восстановление как "непривилегированный сервер" не работает из-за других проблем, и клиенту теперь нужно искать новое решение! Если это большой контейнер, то остановка производства может занять много часов или дней? Я думаю, что информации явно не хватает! Так что мы можем сделать? Есть ли (не)писаное правило установить только для одного LXC-контейнера разрешения, чтобы монтирование внутри контейнера было разрешено? Я нашел пример этого, но где мы можем установить это для одного контейнера? Что должен сделать клиент, чтобы выйти из этого бесконечного круга? Например, восстановить как обычный контейнер - кто удаляет файлы или как сделать резервную копию так, чтобы папки не были включены в резервную копию? ... или больше информации, чтобы мы не оказывались каждый раз в новой, еще не известной черной дыре!

Patric P

Guest

18.04.2016 00:42:00

Привет, у меня такая же проблема. Я хотел бы сделать контейнер непривилегированным, но когда пробую выполнить команду "pct restore", возникают ошибки: Код: pct restore 109 dump/vzdump-lxc-109-2016_04_18-00_33_19.tar.lzo --unprivileged
...
извлечение архива '/var/lib/vz/dump/vzdump-lxc-109-2016_04_18-00_33_19.tar.lzo'
tar: ./var/spool/postfix/dev/urandom: Не удается выполнить mknod: операция не разрешена
tar: ./var/spool/postfix/dev/random: Не удается выполнить mknod: операция не разрешена
Общее количество считанных байтов: 1186508800 (1.2GiB, 306MiB/s)
tar: Завершение с ошибкой из-за предыдущих ошибок
команда 'lxc-usernsexec -m u:0:100000:65536 -m g:0:100000:65536 -- tar xpf /var/lib/vz/dump/vzdump-lxc-109-2016_04_18-00_33_19.tar.lzo --totals --sparse --numeric-owner --acls --xattrs '--xattrs-include=user.*' '--xattrs-include=security.capability' '--warning=no-xattr-write' -C /var/lib/lxc/109/rootfs --skip-old-files --anchored --exclude './dev/*'' завершилась с ошибкой: код выхода 2 Есть идеи? С наилучшими пожеланиями, Патрик

wbumiller

Guest

25.04.2016 14:59:00

Шаблоны непользовательских контейнеров извлекаются как непользовательский пользователь, поэтому он может извлекать только то, что пользователь в противном случае мог бы создать. Это не включает в себя узлы устройств, поэтому вам нужно будет удалить их из архива и либо изменить конфигурацию postfix, либо смонтировать контейнер после восстановления и создать эти устройства вручную.

Jim J Guest	#6 0 28.01.2017 17:54:00 Что такое Device Node? Я ищу этот термин в вики Prox и ничего не нахожу. Ты имеешь в виду аппаратные устройства, такие как сетевые карты или диски?

dietmar Guest	#7 0 28.01.2017 18:08:00 Восстановление пытается создать /dev/urandom (с помощью mknod) (см. журнал восстановления)

EuroDomenii

Guest

30.01.2017 21:02:00

По моим тестам, ошибка tar: ./var/spool/postfix/dev/urandom: Cannot mknod: Operation not permitted появляется, когда пытаешься восстановить контейнер без привилегий из резервной копии контейнера с привилегиями. Причина, похоже, в том, что в контейнере с привилегиями отсутствует mount | grep udev? Это очень странно, потому что ошибка появляется случайно, иногда даже срабатывает для указанного случая! Внутри контейнера без привилегий: mount | grep udev udev на /dev/console тип devtmpfs (rw,relatime,size=10240k,nr_inodes=4101883,mode=755) udev на /dev/full тип devtmpfs (rw,relatime,size=10240k,nr_inodes=4101883,mode=755) udev на /dev/null тип devtmpfs (rw,relatime,size=10240k,nr_inodes=4101883,mode=755) udev на /dev/random тип devtmpfs (rw,relatime,size=10240k,nr_inodes=4101883,mode=755) udev на /dev/tty тип devtmpfs (rw,relatime,size=10240k,nr_inodes=4101883,mode=755) udev на /dev/urandom тип devtmpfs (rw,relatime,size=10240k,nr_inodes=4101883,mode=755) udev на /dev/zero тип devtmpfs (rw,relatime,size=10240k,nr_inodes=4101883,mode=755) Внутри контейнера с привилегиями mount | grep udev ... НЕТ РЕЗУЛЬТАТОВ

dietmar Guest	#9 0 30.01.2017 21:36:00 Я думаю, будет полезно, если ты исключишь /var/spool/postfix/dev/ из резервной копии...

wbumiller

Guest

#10

31.01.2017 11:39:00

Узел устройства — это специальный файл в /dev. Они создают "файловые" записи, которые обеспечивают доступ к устройствам. Непривилегированные контейнеры не могут их создавать, их /dev заполняется процессом запуска lxc. В идеале они должны переключиться на связывание нужных узлов устройств из /dev, вместо того чтобы создавать/перемещать их в /var/spool/postfix/dev... Но как есть сейчас, в непривилегированных контейнерах postfix не может быть использован с конфигурацией chroot, так как не может создавать узлы устройств, с этим сейчас ничего не поделаешь.

n1ete Guest	#11 0 26.02.2017 22:44:00 Так что, этот баг в Postfix уже исправлен? У меня такая же проблема с разрешениями в LXC-контейнерах Turnkey.

basisbit

Guest

#12

06.07.2017 02:30:00

уже существует какое-либо решение этой проблемы? Простой случай: администратор Proxmox создает новый привилегированный контейнер на основе образа "debian-8.0-standard_8.6-1_amd64.tar.gz", запускает apt-get update && apt-get dist-upgrade -y, плюс устанавливает какой-нибудь etherpad или wordpress, а затем после перезагрузки читает о непривилегированных контейнерах и хочет сделать резервную копию и восстановление в непривилегированный контейнер. Восстановление прерывается после удаления ранее исправного контейнера с сообщением "tar: ./var/spool/postfix/dev/urandom: Cannot mknod: Operation not permitted". Теперь через несколько секунд администратор может быть в шоке, потому что контейнер полностью исчез... надеюсь, резервная копия действительно сработала, узнает об этой проблеме в этой теме форума и восстанавливает в привилегированный контейнер снова. Теперь этот человек, скорее всего, застрял, потому что здесь не описано реального решения подробно. Может быть, информация о том, как исключить postfix из резервной копии (как предложено в этой теме), была бы неплохой.

n1ete

Guest

#13

13.11.2017 19:41:00

Итак, это всё ещё не исправлено? Это происходит не только при восстановлении. Я сталкиваюсь с той же проблемой при создании нового некорневого контейнера lxc-turnkey. Это произошло с файловым сервером и медиасервером. Буду признателен за любую помощь. Код: извлечение архива '/MasterPool/template/cache/debian-8-turnkey-mediaserver_14.2-1_amd64.tar.gz'
tar: ./var/spool/postfix/dev/random: Невозможно выполнить mknod: Операция не разрешена
tar: ./var/spool/postfix/dev/urandom: Невозможно выполнить mknod: Операция не разрешена
Всего прочитано байт: 957327360 (913МиБ, 100МиБ/с)
tar: Завершение с ошибкой из-за предыдущих ошибок
ОШИБКА ЗАДАЧИ: команда 'lxc-usernsexec -m u:0:100000:65536 -m g:0:100000:65536 -- tar xpf /proc/self/fd/11 --totals --one-file-system -p --sparse --numeric-owner --acls --xattrs '--xattrs-include=user.*' '--xattrs-include=security.capability' '--warning=no-file-ignored' '--warning=no-xattr-write' -C /var/lib/lxc/233/rootfs --skip-old-files --anchored --exclude './dev/*'' завершилась с кодом выхода 2

bogo22

Guest

#14

29.03.2018 19:46:00

Я тоже пытался сделать привилегированный LXC и неприливегированный LXC через резервное копирование и восстановление (см. руководство в вики). С помощью следующей команды pct restore 1110 /my/vzdump_backup/vzdump-lxc-1100-2018_03_02-02_31_03.tar.gz -ignore-unpack-errors 1 -unprivileged --storage myStorage я получаю ту же ошибку: tar: ./var/spool/postfix/dev/random: Cannot mknod: Operation not permitted tar: ./var/spool/postfix/dev/urandom: Cannot mknod: Operation not permitted Что это означает? Некоторые пользователи / новые созданные пользователи внутри LXC сопоставлены с пользователем postfix хоста? (один и тот же UID?). Я пробовал это с несколькими LXC (все привилегированные) и каждый раз получаю ту же ошибку, так что, похоже, это общая проблема?

wbumiller Guest	#15 0 30.03.2018 12:01:00 Непривилегированным контейнерам не разрешается создавать узлы устройств. Настройка postfix в вашем контейнере использует chroot-среду с некоторыми узлами устройств, созданными в /var/spool/postfix/dev. Чтобы использовать это в непривилегированном контейнере, сначала нужно избавиться от этих файлов в контейнере, который вы хотите преобразовать, перед созданием резервной копии. После восстановления его как непривилегированного контейнера вам нужно либо изменить настройки postfix, чтобы он не использовал chroot, либо связать необходимые узлы устройств с /dev до /var/... .

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры