+7 (495) 320-70-49
- Назад
- Телефоны
- +7 (495) 320-70-49
- Заказать звонок
info@proxmox.su
Москва, Бакунинская улица, 69с1
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

running docker inside LXC, Proxmox Виртуальная Среда

dipe

Guest

26.11.2015 15:50:00

нашим разработчикам и исследователям нужен docker (они сотрудничают, используя образы из dockerhub). Мы можем настроить proxmox для развертывания образов KVM самообслуживания, что работает хорошо... но это все равно кажется глупым, потому что производительность контейнеров гораздо лучше, и они используют меньше ресурсов. Эта проблема была описана ранее, и она все еще существует http://forum.proxmox.com/threads/23...-running-in-a-LXC-container-under-Proxmox-4b2 вы можете заставить это работать: http://ashish1099.github.io/blog/2015/05/23/docker-inside-lxc/ а здесь утверждают, что это работает с LXD: http://thevarguy.com/open-source-ap...tainers-ubuntu-revolutionize-open-source-virt еще раз, docker здесь надолго, разработчики его обожают, но почему они должны быть ограничены запускать его на гипервизоре?

Lonnie

Guest

15.06.2016 09:26:00

Запускать docker-контейнер внутри LXC-контейнера на Proxmox 4.2-11 все еще рискованно с точки зрения безопасности? Если это так, меня это удивляет. Я думал, что LXC-контейнеры, ну, "содержат" все, что установлено на них. Поэтому меня удивляет, что что-то, установленное в LXC-контейнер, может так легко получить доступ ко всей системе хоста Proxmox.

fabian

Guest

15.06.2016 10:11:00

Контейнеры по сути предлагают меньше изоляции, чем "настоящие" виртуальные машины, потому что хост и контейнер используют один экземпляр ядра. Более того, если отключить все функции безопасности и изоляции, предоставляемые ядром и LXC, вы получите улучшенный chroot, как описал Вольфганг. Так что, если вы хотите запустить что-то, что "нуждается" в полном доступе к устройствам, всем интерфейсам ядра и т.д., вы либо должны принять риск и запустить это в контейнере, который на практике совсем не изолирован от хостовой системы (что приемлемо только в очень редких случаях), либо запустить это в виртуальной машине (что предоставляет больше изоляции, но, конечно, также выше накладные расходы).

dipe

Guest

30.09.2016 06:32:00

Спасибо всем за подсказки, в прошлом году я столкнулся с другой проблемой и сдался. После обновления до 4.3 я попробовал снова, и, как оказалось, всё работает. Единственное, что мне нужно было добавить в профиль LXC, это lxc.aa_profile = unconfined, остальные настройки не требовались для того, что я делал (nginx и т.д.). Сейчас это тестовые и девелоперские системы, так что безопасность не так важна. Можем ли мы добавить это в качестве параметра настройки в GUI и REST API, чтобы мне не пришлось вносить изменения в /usr/share/lxc/config/ubuntu.common.conf глобально?

fabian Guest	#5 0 30.09.2016 07:17:00 не нужно добавлять это в /usr/share/lxc/config/ubuntu.common.conf - просто добавьте это в конфигурации контейнеров в /etc/pve/lxc/

sigxcpu Guest	#6 0 30.09.2016 23:34:00 @dipe ты можешь создать несколько ВМ на своих гипервизорах и создать кластер Kubernetes. Он использует контейнеры, но предоставляет гораздо больше в плане их управления.

Medvenda Guest	#7 0 27.02.2017 14:05:00 Привет, для proxmox 4.4-12 такой же риск безопасности или мы можем установить docker без проблем с другим решением? Спасибо.

LnxBil Guest	#8 0 02.03.2017 18:34:00 Пожалуйста, установите Docker внутри VM на базе QEmu, а не на хосте Proxmox VE. Proxmox VE — это IaaS, а Docker — это PaaS, так что он должен находиться на один уровень выше.

ned Guest	#9 0 03.07.2018 06:51:00 Просто интересно, чем этот подход отличается? https://stgraber.org/2016/04/13/lxd-2-0-docker-in-lxd-712/

LnxBil Guest	#10 0 04.07.2018 23:10:00 Вручную чинить Docker, чтобы он заработал? Не думаю. Обычный способ с тем же Debian Stretch в качестве базы работает, но все равно небезопасен, и это не изменится (тестировалось на pve 5-2). Пожалуйста, задумайтесь о том, чтобы запускать Docker так, как его создатели задумали... на IaaS-инстансе для правильного масштабирования и с оркестратором, таким как Docker Swarm или K8s.

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры