🥐 💾 👨🏾‍🔧 CI या परीक्षण वातावरण के लिए Docker-in-Docker का उपयोग करने से पहले ध्यान से सोचें। 🤶🏻 👩‍🎨 👌🏽

Docker-in-Docker एक वर्चुअलाइज्ड Docker डेमन है जो कंटेनर में ही कंटेनर इमेजेज बनाने के लिए चल रहा है। डोकर-इन-डॉकर बनाने का मुख्य लक्ष्य डोकर को खुद विकसित करने में मदद करना था। कई लोग इसका उपयोग जेनकिंस CI को चलाने के लिए करते हैं। सबसे पहले यह सामान्य लगता है, लेकिन फिर ऐसी समस्याएं हैं जो जेनकिंस सीआई कंटेनर में डॉकर को स्थापित करने से बचा जा सकता है। यह आलेख बताता है कि यह कैसे करना है। यदि आप विवरण के बिना अंतिम समाधान में रुचि रखते हैं, तो बस लेख के अंतिम भाग को पढ़ें "समस्या का समाधान।"

डॉकर-इन-डॉकर: अच्छा है

दो साल से अधिक समय पहले, मैंने डॉकर में -प्राप्त ध्वज को सम्मिलित किया और डिंड का पहला संस्करण लिखा । लक्ष्य यह था कि कोर टीम को डोकर को तेजी से विकसित करने में मदद मिले। डॉकर-इन-डॉकर से पहले, एक विशिष्ट विकास चक्र इस तरह था:

हैकिंग हैक;
सभा
रनिंग डॉकटर डेमॉन को रोकना;
एक नया डॉकटर डेमन लॉन्च;
परिक्षण;
लूप रिपीट।

यदि आप एक सुंदर, प्रजनन योग्य विधानसभा बनाना चाहते हैं (जो एक कंटेनर में है), तो यह अधिक जटिल हो गया:

हैकिंग हैक;
सुनिश्चित करें कि डॉकर का एक कार्यशील संस्करण चल रहा है;
एक पुराने कर्ता के साथ एक नया कर्ता बनाएँ;
डॉक डेमन को रोकना;
एक नया डॉकटर डेमन लॉन्च;
मापना;
नए डॉकर डेमन को रोकें;
दोहराएँ।

डॉकर-इन-डॉकर के आगमन के साथ, प्रक्रिया को सरल बना दिया गया है:

हैकिंग हैक;
एक चरण में विधानसभा + लॉन्च;
लूप रिपीट।

क्या यह बेहतर नहीं है?

डॉकटर-इन-डॉकर: खराब

हालांकि, लोकप्रिय धारणा के विपरीत, डॉक-इन-डोकर सितारों, टट्टू और यूनिकॉर्न से बना 100% नहीं है। मेरा मतलब है, ऐसे कई मुद्दे हैं जिनके बारे में एक डेवलपर को जानकारी होनी चाहिए।

उनमें से एक एलएसएम (लिनक्स सुरक्षा मॉड्यूल) जैसे कि AppArmor और SELinux की चिंता करता है: जब कंटेनर शुरू होता है, तो "आंतरिक डॉकर" सुरक्षा प्रोफाइल को लागू करने का प्रयास कर सकता है जो "बाहरी डॉकर" को संघर्ष या भ्रमित करेगा। यह सबसे कठिन समस्या है जिसे हल करने की कोशिश की जानी चाहिए, जो कि मूल-ध्वज के मूल कार्यान्वयन को संयोजित करने की कोशिश कर रही है। मेरे परिवर्तनों ने काम किया, और सभी परीक्षण मेरी डेबियन मशीन और उबंटू परीक्षण आभासी मशीनों पर भी गुजरेंगे, लेकिन वे माइकल क्रॉस्बी मशीन पर दुर्घटनाग्रस्त हो जाएंगे और जल जाएंगे (जहां तक मुझे याद है, उसके पास फेडोरा था)। मैं समस्या के सटीक कारण को याद नहीं रख सकता, लेकिन यह शायद इसलिए हुआ क्योंकि माइक एक बुद्धिमान व्यक्ति है जो SELINUX = enforce (मैंने AppArmor का उपयोग किया) के साथ काम करता है, और मेरे परिवर्तनों ने SELinux प्रोफाइल को ध्यान में नहीं रखा।

डॉकटर-इन-डॉकर: एंग्री

दूसरी समस्या डॉकर स्टोरेज ड्राइवरों से संबंधित है। जब आप Docker-in-Docker लॉन्च करते हैं, तो बाहरी Docker नियमित फ़ाइल सिस्टम (EXT4, BTRFS या आपके पास जो कुछ भी होता है) के शीर्ष पर चलता है, और आंतरिक Docker राइट-टू-कॉपी सिस्टम (AUFS, BTRFS, डिवाइस मैपर, आदि) के शीर्ष पर चलता है। , क्या बाहरी डॉकटर का उपयोग करने के लिए कॉन्फ़िगर किया गया है) पर निर्भर करता है। इस मामले में, कई संयोजन हैं जो काम नहीं करेंगे। उदाहरण के लिए, आप AUFS को AUFS के शीर्ष पर नहीं चला सकते हैं।

यदि आप BTRFS को BTRFS के शीर्ष पर चलाते हैं, तो यह पहले काम करना चाहिए, लेकिन जैसे ही उपकुंजियां दिखाई देती हैं, मूल सबवूलेम को हटाया नहीं जा सकता। डिवाइस मैपर मॉड्यूल में एक नेमस्पेस नहीं होता है, इसलिए यदि कई डॉकर इंस्टेंस एक ही मशीन पर इसका उपयोग करते हैं, तो वे सभी एक दूसरे पर और कंटेनर बैकअप डिवाइस पर छवियों को देख सकते हैं (और प्रभावित कर सकते हैं)। ये गलत है।

इनमें से कई समस्याओं को हल करने के लिए वर्कअराउंड हैं। उदाहरण के लिए, यदि आप आंतरिक डॉक में AUFS का उपयोग करना चाहते हैं, तो बस / var / lib / docker फ़ोल्डर को एक में बदल दें और सबकुछ ठीक हो जाएगा। डॉकर ने डिवाइस मैपर के लक्षित नामों में कुछ बुनियादी नामस्थान जोड़े, ताकि यदि एक ही मशीन पर कई डॉकर कॉल किए जाएं, तो वे एक-दूसरे के खिलाफ "कदम" नहीं करेंगे।

हालाँकि, यह सेटअप सरल से बहुत दूर है, क्योंकि आप इन लेखों से गिटहब पर डंड भंडार में देख सकते हैं ।

डॉकर-इन-डॉकर: खराब हो रहा है

बिल्ड कैश के बारे में क्या? यह भी काफी मुश्किल हो सकता है। लोग अक्सर मुझसे पूछते हैं कि "अगर मैं डॉक-इन-डॉकर चला रहा हूं, तो मैं अपने आंतरिक डॉकटर में सब कुछ वापस खींचने के बजाय, अपने मेजबान पर स्थित छवियों का उपयोग कैसे कर सकता हूं"?

कुछ उद्यमी लोगों ने मेजबान से डोकर-इन-डॉकर कंटेनर को बांधने / var / lib / docker करने की कोशिश की। कभी-कभी वे कई कंटेनरों के साथ / var / lib / docker साझा करते हैं।

भ्रष्ट डाटा करना चाहते हैं? क्योंकि यह वही है जो आपके डेटा को नुकसान पहुंचाएगा!

डॉक डेमॉन को स्पष्ट रूप से / var / lib / docker तक विशेष पहुंच प्राप्त करने के लिए डिज़ाइन किया गया था। इस फोल्डर में किसी भी डॉकर फाइल को "टच, पोक या टच" और कुछ नहीं करना चाहिए।

ऐसा क्यों है? क्योंकि यह डॉटक्लाउड विकसित करने से सीखे गए सबसे कठिन पाठों में से एक है। डॉटक्लाउड कंटेनर इंजन ने एक ही समय पर / var / lib / dotcloud तक पहुँचने की कई प्रक्रियाओं के साथ काम किया। ट्रिकी ट्रिक्स, जैसे परमाणु फ़ाइल प्रतिस्थापन (जगह में संपादन के बजाय), सलाहकार और अनिवार्य ताले के साथ कोड को "पर्चिंग" करना, और SQLite और BDB जैसे सुरक्षित सिस्टम के साथ अन्य प्रयोग, हमेशा काम नहीं करते थे। जब हमने अपने कंटेनर इंजन को फिर से डिजाइन किया, जो अंततः डॉकर में बदल गया, तो मुख्य डिजाइन निर्णयों में से एक एक ही डेमॉन के तहत सभी कंटेनर संचालन को इकट्ठा करना था ताकि एक साथ पहुंच के सभी बकवास को दूर किया जा सके।

मुझे गलत मत समझो: कुछ अच्छा, विश्वसनीय और तेज करना काफी संभव है, जिसमें कई प्रक्रियाएं और आधुनिक समानांतर नियंत्रण शामिल होंगे। लेकिन हमें लगता है कि केवल खिलाड़ी के रूप में डॉकर का उपयोग करके कोड को लिखना और बनाए रखना सरल और आसान है।

इसका अर्थ है कि यदि आप कई डॉकर उदाहरणों के बीच / var / lib / docker निर्देशिका साझा करते हैं, तो आपको समस्याएँ होंगी। बेशक, यह काम कर सकता है, खासकर परीक्षण के शुरुआती चरणों में। "सुनो, मा, मैं उबंटू को एक कर्ता के रूप में चला सकता हूं!" लेकिन कुछ और जटिल करने की कोशिश करें, उदाहरण के लिए, दो अलग-अलग उदाहरणों से एक ही छवि को बाहर निकालें, और आप देखेंगे कि दुनिया कैसे जलती है।

इसका मतलब यह है कि यदि आपका CI सिस्टम असेंबली और रीसेम्बली करता है, तो हर बार जब आप डॉक-इन-डॉकर कंटेनर को पुनरारंभ करते हैं, तो आप परमाणु बम को उसके कैश में गिराने का जोखिम उठाते हैं। यह बिल्कुल अच्छा नहीं है!

समस्या का समाधान

चलो एक कदम पीछे हटो। क्या आपको वास्तव में Docker-in-Docker की आवश्यकता है या केवल Docker को चलाने में सक्षम होना चाहिए, अर्थात् अपने CI सिस्टम से कंटेनरों और छवियों को बनाना और चलाना, जबकि यह CI सिस्टम कंटेनर में ही है?

मुझे यकीन है कि अधिकांश लोगों को बाद वाले विकल्प की आवश्यकता होती है, यानी वे कंटेनर चलाने के लिए जेनकींस जैसी सीआई प्रणाली चाहते हैं। और ऐसा करने का सबसे आसान तरीका यह है कि आप अपने CI कंटेनर में डॉक सॉकेट डालें, इसे -v फ्लैग के साथ जोड़ दें।

सीधे शब्दों में कहें, जब आप अपने डॉक-इन-डॉकर के साथ कुछ हैक करने के बजाय अपने सीआई कंटेनर (जेनकिंस या किसी अन्य) को लॉन्च करते हैं, तो इसे लाइन से शुरू करें:

docker run -v /var/run/docker.sock:/var/run/docker.sock ...

अब इस कंटेनर में डॉकटर सॉकेट तक पहुंच होगी और इसलिए, कंटेनर लॉन्च करने में सक्षम होगा। सिवाय इसके कि "बच्चे" कंटेनरों को लॉन्च करने के बजाय, यह "संबंधित" कंटेनरों को चलाएगा।

आधिकारिक डॉकटर छवि (जिसमें डॉकर बाइनरी शामिल है) का उपयोग करके इसे आज़माएं:

docker run -v /var/run/docker.sock:/var/run/docker.sock \
           -ti docker

यह डॉकर-इन-डॉकर की तरह दिखता है और काम करता है, लेकिन यह डॉकर-इन-डॉकर नहीं है: जब यह कंटेनर अतिरिक्त कंटेनर बनाता है, तो वे शीर्ष-स्तरीय डॉकर में बनाए जाएंगे। आपको घोंसले के शिकार के दुष्प्रभाव का अनुभव नहीं होगा, और बिल्ड कैश को कई कॉल पर साझा किया जाएगा।

नोट: इस लेख के पिछले संस्करणों ने मेजबान से कंटेनर को डॉकरी बाइनरी को बांधने की सलाह दी। यह अब अविश्वसनीय हो गया है, क्योंकि डॉकर तंत्र अब स्थिर या लगभग स्थिर पुस्तकालयों तक नहीं फैला है।

इस प्रकार, यदि आप जेनकिन्स सीआई से डॉकटर का उपयोग करना चाहते हैं, तो आपके पास 2 विकल्प हैं:
डॉकियर सीएलआई को स्थापित करना मूल छवि पैकेजिंग सिस्टम का उपयोग करना (यानी यदि आपकी छवि डेबियन पर आधारित है, तो .deb संकुल का उपयोग करें), डॉकर एपीआई का उपयोग करके।

विज्ञापन का एक सा :)

हमारे साथ रहने के लिए धन्यवाद। क्या आप हमारे लेख पसंद करते हैं? अधिक दिलचस्प सामग्री देखना चाहते हैं? एक ऑर्डर देकर या $ 4.99 से डेवलपर्स के लिए अपने दोस्तों के क्लाउड-आधारित VPS की अनुशंसा करके हमें समर्थन दें, आपके द्वारा आविष्कार किया गया एंट्री-लेवल सर्वर का एक अनूठा एनालॉग: VPS (KVM) E5-2697 3 (6 करोड़) 10GB DDR4 480GB SSD 1Gbps के बारे में पूरी सच्चाई $ 19 या सर्वर को कैसे विभाजित करें? (विकल्प RAID1 और RAID10 के साथ उपलब्ध हैं, 24 कोर तक और 40GB DDR4 तक)।

डेल R730xd एम्स्टर्डम में इक्विनिक्स टीयर IV डेटा सेंटर में 2 गुना सस्ता? केवल हमारे पास 2 x Intel TetraDeca-Core Xeon 2x E5-2697v3 2.6GHz 14C 64GB DDR4 4x960GB SSD 1Gbps 100 TV नीदरलैंड के 199 डॉलर में से है!डेल R420 - 2x E5-2430 2.2Ghz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB - $ 99 से! इन्फ्रास्ट्रक्चर Bldg का निर्माण कैसे करें के बारे में पढ़ें । एक पैसा के लिए 9,000 यूरो की लागत डेल R730xd E5-2650 v4 सर्वर का उपयोग कर वर्ग सी?