閱讀876 返回首頁    go 阿裏雲 go 技術社區[雲棲]

LXD 2.0 係列（八）：LXD 中的 LXD

介紹

在上一篇文章中，我介紹了如何在 LXD 中運行 Docker，這是一個訪問由 Docker 提供的應用程序組合的很好方式，同時 Docker 還運行在 LXD 提供的安全環境中。

我提到的一個情況是為你的用戶提供一個 LXD 容器，然後讓他們使用他們的容器來運行 Docker。那麼，如果他們自己想要在其容器中使用 LXD 運行其他 Linux 發行版，或者甚至允許另一組人來訪問運行在他們的容器中的 Linux 係統呢？

原來 LXD 使得用戶運行嵌套容器變得非常簡單。

嵌套 LXD

最簡單的情況可以使用 Ubuntu 16.04 鏡像來展示。 Ubuntu 16.04 雲鏡像預裝了 LXD。守護進程本身沒有運行，因為它是由套接字激活的，所以它不使用任何資源，直到你真正使用它。

讓我們啟動一個啟用了嵌套的 Ubuntu 16.04 容器：



  1. lxc launch ubuntu-daily:16.04 c1 -c security.nesting=true


你也可以在一個已有的容器上設置 security.nesting：




  1. lxc config set <container name> security.nesting true


或者對所有的容器使用一個指定的配置文件：




  1. lxc profile set <profile name> security.nesting true


容器啟動後，你可以從容器內部得到一個 shell，配置 LXD 並生成一個容器：




    

  1. stgraber@dakara:~$ lxc launch ubuntu-daily:16.04 c1 -c security.nesting=true
    2. 

  2. Creating c1
    3. 

  3. Starting c1
    4. 

    5. 

  5. stgraber@dakara:~$ lxc exec c1 bash
    6. 

  6. root@c1:~# lxd init
    7. 

  7. Name of the storage backend to use (dir or zfs): dir
    8. 

    9. 

  9. We detected that you are running inside an unprivileged container.
    10. 

  10. This means that unless you manually configured your host otherwise,
    11. 

  11. you will not have enough uid and gid to allocate to your containers.
    12. 

    13. 

  13. LXD can re-use your container's own allocation to avoid the problem.
    14. 

  14. Doing so makes your nested containers slightly less safe as they could
    15. 

  15. in theory attack their parent container and gain more privileges than
    16. 

  16. they otherwise would.
    17. 

    18. 

  18. Would you like to have your containers share their parent's allocation (yes/no)? yes
    19. 

  19. Would you like LXD to be available over the network (yes/no)? no
    20. 

  20. Do you want to configure the LXD bridge (yes/no)? yes
    21. 

  21. Warning: Stopping lxd.service, but it can still be activated by:
    22. 

  22.  lxd.socket
    23. 

  23. LXD has been successfully configured.
    24. 

    25. 

  25. root@c1:~# lxc launch ubuntu:14.04 trusty
    26. 

  26. Generating a client certificate. This may take a minute...
    27. 

  27. If this is your first time using LXD, you should also run: sudo lxd init
    28. 

    29. 

  29. Creating trusty
    30. 

  30. Retrieving image: 100%
    31. 

  31. Starting trusty
    32. 

    33. 

  33. root@c1:~# lxc list
    34. 

  34. +--------+---------+-----------------------+----------------------------------------------+------------+-----------+
    35. 

  35. | NAME | STATE | IPV4 | IPV6 | TYPE | SNAPSHOTS |
    36. 

  36. +--------+---------+-----------------------+----------------------------------------------+------------+-----------+
    37. 

  37. | trusty | RUNNING | 10.153.141.124 (eth0) | fd7:f15d:d1d6:da14:216:3eff:fef1:4002 (eth0) | PERSISTENT | 0 |
    38. 

  38. +--------+---------+-----------------------+----------------------------------------------+------------+-----------+
    39. 

  39. root@c1:~#
    40. 



就是這樣簡單。



在線演示服務器


因為這篇文章很短，我想我會花一點時間談論我們運行中的演示服務器。我們今天早些時候剛剛達到了 10000 個會話！


這個服務器基本上隻是一個運行在一個相當強大的虛擬機上的正常的 LXD，一個小型的守護進程實現了我們的網站所使用的 REST API。


當你接受服務條款時，將為你創建一個新的 LXD 容器，並啟用 security.nesting，如上所述。接著你就像使用 lxc exec 時一樣連接到了那個容器，除了我們使用 websockets 和 javascript 來做這些。


你在此環境中創建的容器都是嵌套的 LXD 容器。如果你想，你可以進一步地嵌套。


我們全範圍地使用了 LXD 資源限製，以防止一個用戶的行為影響其他用戶，並仔細監控服務器的任何濫用跡象。


原文發布時間為：2017-03-02


本文來自雲棲社區合作夥伴“Linux中國”


最後更新：2017-05-25 17:02:02
  上一篇：go  在樹莓派 3 上運行 openSUSE：簡單幾步搭建一個實用係統 
  下一篇：go  Samba 係列（四）：在 Windows 下管理 Samba4 AD 域管製器 DNS 和組策略