runc中文翻译系列一 runc入门

秋播2024-02-14 17:14

runc 是一个 CLI 工具，用于根据 OCI 规范在 Linux 上孕育和运行容器。

发布

你可以在 release 页面找到 runc 的正式发布版本。

构建

runc 仅支持 Linux。它必须使用 Go 1.19 或更高版本构建。

为了启用 seccomp 支持，你需要在你的平台上安装 libseccomp 。

例如 CentOS 的 libseccomp-devel 或 Ubuntu 的 libseccomp-dev

bash 复制代码 
# 在 GOPATH/src 中创建 "github.com/opencontainers
cd github.com/opencontainers
git clone https://github.com/opencontainers/runc
cd runc

make
sudo make install

你也可以使用 go get 安装到你的 GOPATH，前提是你已经在 src 下创建了一个 github.com 父文件夹：

bash 复制代码 
go get github.com/opencontainers/runc
cd $GOPATH/src/github.com/opencontainers/runc
make
sudo make install

runc将被安装到系统中的/usr/local/sbin/runc`。

编译标志

runc 支持可选的编译标志，以编译支持各种特性、 其中一些标签默认已启用（参见顶级 Makefile 中的 BUILDTAGS）。

要更改默认的联编标志，请为 make 设置 BUILDTAGS 变量、 例如，禁用 seccomp：

bash 复制代码 
make BUILDTAGS=""
构建标志 特性 默认开启 依赖
seccomp 使用 libseccomp 过滤系统调用。 是 libseccomp
!runc_nodmz 通过使用小型 C 二进制文件减少 CVE-2019-5736 保护的内存使用量，[更多详情请参见 memfd-bind][contrib-memfd-bind]。runc_nodmz 会禁用此功能，并导致 runc 使用不同的保护机制，这将在容器启动期间暂时进一步增加内存使用量。也可以通过设置 RUNC_DMZ=legacy 环境变量在运行时禁用此功能。 是
runc_dmz_selinux_nocompat 禁用 SELinux DMZ 解决方法（新发行版应设置此项）。详情请参阅 [dmz README] 。 否

以下构建标记曾在早期使用，但现已过时：

  • nokmem（自 runc v1.0.0-rc94 版起内核内存设置被忽略）
  • apparmor（自 runc v1.0.0-rc93，该功能始终处于启用状态）
  • selinux（自 runc v1.0.0-rc93 起始终启用该功能）

contrib-memfd-bind

dmz README

运行测试套件

runc 目前支持通过 Docker 运行测试套件。 要运行测试套件，只需键入 make test。

bash 复制代码 
make test

有一些额外的 make target 可用于在容器外运行测试，但不建议这样做，因为编写测试时希望它们能在任何地方写入和删除。

你可以通过设置 TESTFLAGS 变量来运行特定的测试用例。

bash 复制代码 
# make test TESTFLAGS="-run=SomeTestFunction"

您可以通过设置 TESTPATH 变量来运行特定的集成测试。

bash 复制代码 
# make test TESTPATH="/checkpoint.bats"

通过设置 ROOTLESS_TESTPATH 变量，可以运行特定的无根集成测试。

bash 复制代码 
# make test ROOTLESS_TESTPATH="/checkpoint.bats"

您可以通过设置 CONTAINER_ENGINE_BUILD_FLAGS 和 CONTAINER_ENGINE_RUN_FLAGS 变量，使用容器引擎的标志运行测试。

bash 复制代码 
# make test CONTAINER_ENGINE_BUILD_FLAGS="--build-arg http_proxy=http://yourproxy/" CONTAINER_ENGINE_RUN_FLAGS="-e http_proxy=http://yourproxy/"

依赖关系管理

runc 使用 Go Modules 进行依赖管理。 请参阅 Go Modules，了解如何添加或更新新的依赖项。

bash 复制代码 
# 更新供应商依赖关系
make vendor
# 验证全部依赖
make verify-dependencies

使用 runc

请注意，runc 是一个低级工具，在设计时并没有考虑最终用户的需求。 它主要由其他更高级别的容器软件使用。

因此，除非有某些特定用例阻止使用 Docker 或 Podman 等工具，否则不建议直接使用 runc。

如果你仍然想使用 runc，下面是使用方法。

创建 OCI Bundle

要使用 runc，你的容器必须是 OCI Bundle格式。 如果你已经安装了 Docker，可以使用它的 export 方法从现有的 Docker 容器中获取根文件系统。

bash 复制代码 
# 创建最顶层的目录
mkdir /mycontainer
cd /mycontainer

# 创建rootfs目录
mkdir rootfs

# 通过docker把busybox导出到rootfs目录
docker export $(docker create busybox) | tar -C rootfs -xvf -

在填充根文件系统后，您只需在 bundle 中以 config.json 文件的格式生成规范。 runc 提供了一个 spec 命令来生成基本模板规范，然后您就可以对其进行编辑。 要查找规范中字段的功能和文档，请参阅 specs 资源库。

bash 复制代码 
runc spec

运行容器

假设你在上一步中获得了一个 OCI Bundle，你可以用两种不同的方式执行容器。

第一种方式是使用便捷命令 run，它将处理容器的创建、启动和退出后的删除。

bash 复制代码 
# 以root用户运行
cd /mycontainer
runc run mycontainerid

如果你使用未修改的 runc spec 模板，就会在容器内生成一个 sh 会话。

启动容器的第二种方法是使用规范生命周期操作。 这使您对容器运行时的创建和管理方式拥有更多权力。 这也将在后台启动容器，因此您必须编辑 config.json，删除下面简单示例中的 terminal 设置。 请参阅 runc 终端处理 的更多详情。 您在 config.json 中的进程字段应该如下所示，其中包含 "terminal": false 和 "args"： ["sleep", "5"]。

json 复制代码 
        "process": {
                "terminal": false,
                "user": {
                        "uid": 0,
                        "gid": 0
                },
                "args": [
                        "sleep", "5"
                ],
                "env": [
                        "PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin",
                        "TERM=xterm"
                ],
                "cwd": "/",
                "capabilities": {
                        "bounding": [
                                "CAP_AUDIT_WRITE",
                                "CAP_KILL",
                                "CAP_NET_BIND_SERVICE"
                        ],
                        "effective": [
                                "CAP_AUDIT_WRITE",
                                "CAP_KILL",
                                "CAP_NET_BIND_SERVICE"
                        ],
                        "inheritable": [
                                "CAP_AUDIT_WRITE",
                                "CAP_KILL",
                                "CAP_NET_BIND_SERVICE"
                        ],
                        "permitted": [
                                "CAP_AUDIT_WRITE",
                                "CAP_KILL",
                                "CAP_NET_BIND_SERVICE"
                        ],
                        "ambient": [
                                "CAP_AUDIT_WRITE",
                                "CAP_KILL",
                                "CAP_NET_BIND_SERVICE"
                        ]
                },
                "rlimits": [
                        {
                                "type": "RLIMIT_NOFILE",
                                "hard": 1024,
                                "soft": 1024
                        }
                ],
                "noNewPrivileges": true
        },

现在，我们可以在 shell 中进行生命周期操作了。

bash 复制代码 
# 以root用户身份运行
cd /mycontainer
runc create mycontainerid

# 查看容器是否已创建并处于 "created "状态
runc list

# 启动容器内的进程
runc start mycontainerid

# 5 秒后查看容器是否已退出并处于停止状态
runc list

# 现在删除容器
runc delete mycontainerid

这样，高层系统就可以在容器创建后和/或删除前设置各种设置，从而增强容器的创建逻辑。例如，容器的网络堆栈通常是在 "创建 "之后但在 "启动 "之前设置的。

无 root 权限的容器

runc 可以在没有 root 权限的情况下运行容器。这被称为 rootless。要运行无根容器，需要向 runc 传递一些参数。请参见下文并与之前的版本进行比较。

注意： 要使用此功能，必须在内核中编译并启用 "User Namespace"。根据发行版的不同，有多种方法可以做到这一点：

  • 确认内核配置中设置了 CONFIG_USER_NS=y（通常在 /proc/config.gz）。
  • Arch/Debian： echo 1 > /proc/sys/kernel/unprivileged_userns_clone.
  • RHEL/CentOS 7： echo 28633 > /proc/sys/user/max_user_namespaces `. 以普通用户身份运行以下命令：
bash 复制代码 
# 和第一个例子一样
mkdir ~/mycontainer
cd ~/mycontainer
mkdir rootfs
docker export $(docker create busybox) | tar -C rootfs -xvf -

# --rootless参数指示 runc spec 生成无根容器的配置，这将允许你以非 root 用# 户身份运行容器。
runc spec --rootless

# 根参数告诉 runc 在哪里存储容器状态。用户必须可以写入目录。
runc --root /tmp/runc run mycontainerid

监督

runc 可以与进程监管程序和 init 系统一起使用，以确保容器在退出时重新启动。 systemd 单元文件的示例如下。

systemd 复制代码 
[Unit]
Description=Start My Container

[Service]
Type=forking
ExecStart=/usr/local/sbin/runc run -d --pid-file /run/mycontainerid.pid mycontainerid
ExecStopPost=/usr/local/sbin/runc delete mycontainerid
WorkingDirectory=/mycontainer
PIDFile=/run/mycontainerid.pid

[Install]
WantedBy=multi-user.target

更多文档

相关推荐
南猿北者7 小时前
docker容器
docker·容器
YCyjs8 小时前
K8S群集调度二
云原生·容器·kubernetes
Hoxy.R8 小时前
K8s小白入门
云原生·容器·kubernetes
€☞扫地僧☜€11 小时前
docker 拉取MySQL8.0镜像以及安装
运维·数据库·docker·容器
全能全知者12 小时前
docker快速安装与配置mongoDB
mongodb·docker·容器
为什么这亚子14 小时前
九、Go语言快速入门之map
运维·开发语言·后端·算法·云原生·golang·云计算
ZHOU西口16 小时前
微服务实战系列之玩转Docker（十八）
分布式·docker·云原生·架构·数据安全·etcd·rbac
牛角上的男孩16 小时前
Istio Gateway发布服务
云原生·gateway·istio
JuiceFS18 小时前
好未来：多云环境下基于 JuiceFS 建设低运维模型仓库
运维·云原生
景天科技苑18 小时前
【云原生开发】K8S多集群资源管理平台架构设计
云原生·容器·kubernetes·k8s·云原生开发·k8s管理系统
热门推荐
01如何才能让手机厂商主动拥抱华为，接入鸿蒙系统？02【HarmonyOS】HUAWEI DevEco Studio 下载地址汇总03组基轨迹建模 GBTM的介绍与实现（Stata 或 R）04【TC3xx芯片】TC3xx芯片电源管理系统PMS详解05基于YOLOv10深度学习的CT扫描图像肾结石智能检测系统【python源码+Pyqt5界面+数据集+训练代码】深度学习实战、目标检测06【经验分享】Ubuntu22.04安装微信(linux官方版)07Macbook pro M1 安装Ubuntu教程08RAG 实践- Ollama+RagFlow 部署本地知识库09Windows10安装PCL1.14.0及点云配准10文件或文件夹名称中有空格如何批量去除