「Docker」の版間の差分

提供: ArchWiki
ナビゲーションに移動 検索に移動
(同期)
(英語版に同期)
13行目: 13行目:
 
== インストール ==
 
== インストール ==
   
{{Pkg|docker}} パッケージを[[pacman|インストール]]して {{ic|docker.service}} を[[systemd#ユニットを使う|起動]]してください。開発版を使いたい場合、{{AUR|docker-git}} をインストールしてください。動作検証するために、次を実行:
+
{{Pkg|docker}} パッケージ、または開発版使いたい場合は {{Aur|docker-git}} パッケージを [[インストール]] して下さい。次に {{ic|docker.service}} を [[起動]] して有効化してください。動作検証するために、次を実行:
   
 
# docker info
 
# docker info
   
  +
有効な vpn 接続がある場合 docker サービスの起動に失敗することがあることに注意して下さい。このような場合、docker サービスの起動前に vpn を切断してみて下さい。その後すぐに vpn に再接続できます。
docker を通常ユーザーで実行できるようにしたい場合は、ユーザーを docker [[グループ]]に追加してからログインしなおしてください。
 
   
  +
docker を通常ユーザーで実行できるようにしたい場合は、ユーザーを {{ic|docker}} [[グループ]]に追加してください。
{{Warning|ユーザーを {{ic|docker}} グループに追加することは root にするのと同義です。詳しくは [https://github.com/docker/docker/issues/9976] や [https://docs.docker.com/engine/security/security/] を参照。}}
 
  +
  +
{{Warning|ユーザーを {{ic|docker}} グループに追加することは root にするのと同義です。詳しくは [https://github.com/docker/docker/issues/9976 こちら] や [https://docs.docker.com/engine/security/security/ こちら] を参照。}}
   
 
{{Note|{{Pkg|linux}} 4.15.0-1 の時点で、特定のプログラム(''apt-get'' など)で必要な ''vsyscalls'' は、カーネルの設定ではデフォルトで無効になっています。再度有効にするには、{{ic|1=vsyscall=emulate}} を[[カーネルパラメータ]]に追加します。さらに詳しい情報は {{bug|57336}} を参照。}}
 
{{Note|{{Pkg|linux}} 4.15.0-1 の時点で、特定のプログラム(''apt-get'' など)で必要な ''vsyscalls'' は、カーネルの設定ではデフォルトで無効になっています。再度有効にするには、{{ic|1=vsyscall=emulate}} を[[カーネルパラメータ]]に追加します。さらに詳しい情報は {{bug|57336}} を参照。}}
33行目: 35行目:
 
現在のストレージドライバーを確認するには {{ic|# docker info {{!}} head}} を実行してください。最近の docker 環境では {{ic|overlay2}} がデフォルトで使われます。
 
現在のストレージドライバーを確認するには {{ic|# docker info {{!}} head}} を実行してください。最近の docker 環境では {{ic|overlay2}} がデフォルトで使われます。
   
ストレージドライバーを設定するには、[[ドロップインファイル]]を作成して {{ic|dockerd}} に {{ic|-s}} オプション指定してください:
+
自分で選択したストレージドライバーを設定するには、{{ic|/etc/docker/daemon.json}} (無い場合は作成して下さい)編集してさい:
{{hc|/etc/systemd/system/docker.service.d/override.conf|2=
+
{{hc|/etc/docker/daemon.json|2=
  +
{
[Service]
 
  +
"storage-driver": "overlay2"
ExecStart=
 
  +
}
ExecStart=/usr/bin/dockerd -H fd:// -s overlay2
 
  +
 
}}
 
}}
   
  +
その後、docker を [[再起動]] して下さい。
{{ic|ExecStart}} を置き換えるには {{ic|1=ExecStart=}} を上記のように設定する必要があります。
 
   
 
オプションに関する詳細は [https://docs.docker.com/engine/userguide/storagedriver/selectadriver/ ユーザーガイド] を見てください。
 
オプションに関する詳細は [https://docs.docker.com/engine/userguide/storagedriver/selectadriver/ ユーザーガイド] を見てください。
  +
{{ic|daemon.json}} の中のオプションの詳細は [https://docs.docker.com/engine/reference/commandline/dockerd/#daemon-configuration-file dockerd のドキュメント] を見てください。
   
=== Remote API を開く ===
+
=== Remote API ===
   
 
ポート {{ic|4243}} で Remote API を手動で開くには:
 
ポート {{ic|4243}} で Remote API を手動で開くには:
56行目: 60行目:
 
==== Remote API と systemd ====
 
==== Remote API と systemd ====
   
docker デーモンで Remote API を起動するには、以下の内容で[[ドロップインファイル]]を作成してください:
+
docker デーモンで Remote API を起動するには、以下の内容で[[ドロップインスニペット]]を作成してください:
   
 
{{hc|/etc/systemd/system/docker.service.d/override.conf|2=
 
{{hc|/etc/systemd/system/docker.service.d/override.conf|2=
66行目: 70行目:
 
=== デーモンのソケットの設定 ===
 
=== デーモンのソケットの設定 ===
   
''docker'' デーモンはデフォルトで [[Wikipedia:ja:UNIXドメインソケット|Unix ソケット]]を使います。特定のポートを listen させるには、{{ic|/etc/systemd/system/docker.socket}} を編集して、{{ic|ListenStream}}使用たいポートに置き換えてください:
+
''docker'' デーモンはデフォルトで [[Wikipedia:ja:UNIXドメインソケット|Unix ソケット]]を使います。特定のポートを listen させるには、以下の内容の [[ドロップインスニペット]]作成してください:
   
  +
{{hc|/etc/systemd/system/docker.socket.d/socket.conf|2=
[Socket]
 
  +
[Socket]
ListenStream=0.0.0.0:2375
 
  +
ListenStream=0.0.0.0:2375
  +
}}
   
 
=== プロキシ ===
 
=== プロキシ ===
75行目: 81行目:
 
プロキシの設定は2つに分けられます。ひとつは Docker デーモンのホストの設定で、もうひとつはコンテナからプロキシにアクセスできるようにするための設定です。
 
プロキシの設定は2つに分けられます。ひとつは Docker デーモンのホストの設定で、もうひとつはコンテナからプロキシにアクセスできるようにするための設定です。
   
==== デーモンのプロキシの設定 ====
+
==== プロキシの設定 ====
   
以下の内容で[[ドロップインファイル]]を作成:
+
以下の内容で[[ドロップインスニペット]]を作成:
 
{{hc|/etc/systemd/system/docker.service.d/proxy.conf|2=
 
{{hc|/etc/systemd/system/docker.service.d/proxy.conf|2=
 
[Service]
 
[Service]
84行目: 90行目:
 
}}
 
}}
   
{{Note|上記ではプロクシサーバが {{ic|192.168.1.1}} になっています、{{ic|127.0.0.1}} は使わないでください。}}
+
{{Note|これあなたのプロクシサーバが {{ic|192.168.1.1}} だと仮定しています、{{ic|127.0.0.1}} は使わないでください。}}
   
  +
設定がロードされたことを確認:
変更を適用: {{ic|# systemctl daemon-reload}}。
 
   
設定がロードされたことを確認: {{hc|# systemctl show docker --property Environment|2=Environment=HTTP_PROXY=192.168.1.1}}
+
{{hc|# systemctl show docker --property Environment|2=
  +
Environment=HTTP_PROXY=192.168.1.1:8080 HTTPS_PROXY=192.168.1.1:8080
 
  +
}}
Docker を再起動: {{ic|# systemctl restart docker}}。
 
   
 
==== コンテナの設定 ====
 
==== コンテナの設定 ====
104行目: 110行目:
 
=== DNS の設定 ===
 
=== DNS の設定 ===
   
デフォルトでは、docker はホストマシンにある {{ic|resolv.conf}} と同じ中身の {{ic|resolv.conf}} をコンテナに作成します。その際、ローカルアドレス (例: {{ic|127.0.0.1}}) は消されます。それによって {{ic|resolv.conf}} が空ファイルになった場合、Google の DNS サーバーが記述されます。[[Dnsmasq]] などのサービスを利用して名前を解決するようにしたい場合、設定が消されないように docker のネットワークインターフェイス用にエントリを {{ic|/etc/resolv.conf}} に追加する必要があります。
+
デフォルトでは、docker はホストマシンにある {{ic|resolv.conf}} と同じ中身の {{ic|resolv.conf}} をコンテナに作成します。その際、ローカルアドレス (例: {{ic|127.0.0.1}}) は消されます。それによって {{ic|resolv.conf}} が空ファイルになった場合、[https://developers.google.com/speed/public-dns/ Google の DNS サーバー] が記述されます。[[dnsmasq]] などのサービスを利用して名前を解決するようにしたい場合、設定が消されないように docker のネットワークインターフェイス用にエントリを {{ic|/etc/resolv.conf}} に追加する必要があります。
   
=== 手動で定義したネットワークで Docker を実行 ===
+
=== systemd-networkd 上に手動で定義したネットワークで Docker を実行 ===
   
バージョン 220 以上の [[systemd-networkd]] を使ってネットワークを手動設定している場合、Docker で起動したコンテナがネットワークにアクセスできない場合があります。バージョン 220 から、ネットワークの転送設定 ({{ic|net.ipv4.conf.<interface>.forwarding}}) はデフォルトで {{ic|off}} になっており IP フォワーディングが使えません。また、コンテナの中で Docker によって有効になる {{ic|net.ipv4.conf.all.forwarding}} の設定と衝突します。
+
バージョン ''220'' または ''それ以上'' の [[systemd-networkd]] を使ってネットワークを手動設定している場合、Docker で起動したコンテナがネットワークにアクセスできない場合があります。バージョン 220 から、ネットワークの転送設定 ({{ic|net.ipv4.conf.<interface>.forwarding}}) はデフォルトで {{ic|off}} です。この設定で IP フォワーディングが使えません。また、コンテナの中で Docker によって有効になる {{ic|net.ipv4.conf.all.forwarding}} の設定と衝突します。
   
インターネットにアクセスするには、Docker のホスト側で {{ic|/etc/systemd/network/}} にある {{ic|<interface>.network}} ファイルを編集して以下のブロックを追加してください:
+
インターネットにアクセスするには、Docker のホスト側で {{ic|/etc/systemd/network/}} にある {{ic|<interface>.network}} ファイルを編集して {{ic|1=IPForward=kernel}} を追加してください:
   
 
{{hc|/etc/systemd/network/<interface>.network|2=
 
{{hc|/etc/systemd/network/<interface>.network|2=
123行目: 129行目:
   
 
デフォルトでは、docker のイメージは {{ic|/var/lib/docker}} に保存されます。置き場所は別のパーティションに移動することが可能です。
 
デフォルトでは、docker のイメージは {{ic|/var/lib/docker}} に保存されます。置き場所は別のパーティションに移動することが可能です。
  +
まず、{{ic|docker.service}} を[[停止]]してください。
   
まず、{{ic|docker.service}} を[[systemd#ユニットを使う|停止]]してください。docker イメージを起動したことがある場合、イメージが完全にアンマウントされていることを確認します。そうしたら、イメージを {{ic|/var/lib/docker}} から好きな場所に移動してください。
+
docker イメージを起動したことがある場合、イメージが完全にアンマウントされていることを確認します。そうしたら、イメージを {{ic|/var/lib/docker}} から好きな場所に移動してください。
   
その後、{{ic|docker.service}} の[[systemd#ドロップインファイル|ドロプインファイル]]を作成して、{{ic|ExecStart}} に {{ic|--data-root}} パラメータを追加してください:
+
その後、{{ic|docker.service}} の[[ドロップインスニペ]]を作成して、{{ic|ExecStart}} に {{ic|--data-root}} パラメータを追加してください:
   
 
{{hc|/etc/systemd/system/docker.service.d/docker-storage.conf|2=
 
{{hc|/etc/systemd/system/docker.service.d/docker-storage.conf|2=
133行目: 140行目:
 
ExecStart=/usr/bin/dockerd --data-root=''/path/to/new/location/docker'' -H fd://}}
 
ExecStart=/usr/bin/dockerd --data-root=''/path/to/new/location/docker'' -H fd://}}
   
  +
=== 安全ではないレジストリ ===
最後に、設定をリロードして {{ic|docker.service}} を再度[[起動]]します。
 
  +
  +
もしプライベートレジストリに自己署名証明書を使うことに決めた場合、あなたが信頼すると宣言するまで Docker はその使用を拒否します。
  +
{{ic|docker.service}} の [[ドロップインスニペット]] を追加して、{{ic|--insecure-registry}} パラメータを {{ic|dockerd}} に追加してください:
  +
{{hc|/etc/systemd/system/docker.service.d/override.conf|2=
  +
[Service]
  +
ExecStart=
  +
ExecStart=/usr/bin/dockerd -H fd:// --insecure-registry my.registry.name:5000
  +
}}
   
 
== イメージ ==
 
== イメージ ==
 
=== Arch Linux ===
 
=== Arch Linux ===
次のコマンドは [https://hub.docker.com/r/archlinux/base/ archlinux/base] x86_64 イメージを取得します:
+
次のコマンドは [https://hub.docker.com/r/archlinux/base/ archlinux/base] x86_64 イメージを取得します。これはネットワーク、その他を削減したバージョンの Arch core です:
 
# docker pull archlinux/base
 
# docker pull archlinux/base
   
 
詳しくは [https://github.com/archlinux/archlinux-docker/blob/master/README.md README.md] を参照してください。
 
詳しくは [https://github.com/archlinux/archlinux-docker/blob/master/README.md README.md] を参照してください。
  +
  +
完全な Arch base を得るには、上記から repo を clone して自分でイメージを作成してください。
  +
  +
$ git clone https://github.com/archlinux/archlinux-docker.git
  +
  +
'base' のみを含めるようにパッケージファイルを編集してください。そして実行:
  +
  +
# make docker-image
   
 
=== Debian ===
 
=== Debian ===
151行目: 174行目:
   
 
# mkdir jessie-chroot
 
# mkdir jessie-chroot
# debootstrap jessie ./jessie-chroot <nowiki>http://http.debian.net/debian/</nowiki>
+
# debootstrap jessie ./jessie-chroot http://http.debian.net/debian/
 
# cd jessie-chroot
 
# cd jessie-chroot
 
# tar cpf - . | docker import - debian
 
# tar cpf - . | docker import - debian
 
# docker run -t -i --rm debian /bin/bash
 
# docker run -t -i --rm debian /bin/bash
 
=== Skype ===
 
 
[[Skype#Docker]] を参照してください。
 
 
=== Arch Linux イメージとスナップショットリポジトリ ===
 
複数のイメージを作成した場合、アップデートによってパッケージのバージョンが食い違ってしまい問題が起こりやすくなります。Docker コンテナのパッケージのバージョンを統一するために、[https://registry.hub.docker.com/u/pritunl/archlinux/ Docker イメージとスナップショットリポジトリ] を利用することができます。スナップショットが作成された日に基づいて公式リポジトリから新しいパッケージをインストールすることができるようになります。
 
 
$ docker pull pritunl/archlinux:latest
 
$ docker run --rm -t -i pritunl/archlinux:latest /bin/bash
 
 
もしくは [[Arch Linux Archive]] を使って {{ic|/etc/pacman.d/mirrorlist}} を凍らせる方法もあります:
 
<nowiki>Server=https://archive.archlinux.org/repos/2020/01/02/$repo/os/$arch</nowiki>
 
   
 
== Docker とイメージの削除 ==
 
== Docker とイメージの削除 ==
211行目: 221行目:
 
実行中のコンテナの IP アドレスを取得するには:
 
実行中のコンテナの IP アドレスを取得するには:
   
{{hc|<nowiki>$ docker inspect --format '{{ .NetworkSettings.IPAddress }}' <container-name OR id> </nowiki>|
+
{{hc|<nowiki>$ docker inspect --format='{{range .NetworkSettings.Networks}}{{.IPAddress}}{{end}}' <container-name OR id> </nowiki>|
 
172.17.0.37}}
 
172.17.0.37}}
  +
  +
それぞれの実行中のコンテナについて、{{ic|/etc/hosts}} で使うために名前と対応する IP アドレスを出力:
  +
  +
{{bc|#!/usr/bin/env sh
  +
<nowiki>for ID in $(docker ps -q | awk '{print $1}'); do
  +
IP=$(docker inspect --format="{{range .NetworkSettings.Networks}}{{.IPAddress}}{{end}}" "$ID")
  +
NAME=$(docker ps | grep "$ID" | awk '{print $NF}')
  +
printf "%s %s\n" "$IP" "$NAME"
  +
done</nowiki>}}
   
 
== トラブルシューティング ==
 
== トラブルシューティング ==
231行目: 250行目:
 
=== docker0 ブリッジが IP を取得できない / コンテナからインターネットにアクセスできない ===
 
=== docker0 ブリッジが IP を取得できない / コンテナからインターネットにアクセスできない ===
   
Docker は自分で IP フォワーディングを有効にしますが、デフォルトでは systemd によって sysctl の設定が上書きされてしまいます。以下の設定によっ上書きれなようにできます (全てのインターフェイスで有効):
+
Docker は自分で IP フォワーディングを有効にしますが、デフォルトでは [[systemd-networkd]] によって sysctl の設定が上書きされてしまいます。ネットワークプロファイルに {{ic|1=IPForward=yes}} を設定ください。詳しくは [[インターネット共有#パケット転送の有効化]] を参照してください。
 
{{hc|/etc/systemd/network/ipforward.network|<nowiki>
 
[Network]
 
IPForward=kernel
 
</nowiki>}}
 
 
{{hc|/etc/sysctl.d/99-docker.conf|<nowiki>
 
net.ipv4.ip_forward = 1
 
</nowiki>}}
 
 
# sysctl -w net.ipv4.ip_forward=1
 
 
{{Note|systemd バージョン 220 では、Docker によって使われるブリッジが IP アドレスを消失することが確認されています。手動で定義したネットワークでは問題なく動作します。}}
 
 
docker ブリッジが ip を消失する問題を回避するには、networkd でブリッジを ''Unmanaged'' に設定:
 
 
# cat > /etc/systemd/network/50-docker.network <<EOF
 
[Match]
 
Name=docker0
 
 
[Network]
 
IPForward=kernel
 
 
[Link]
 
Unmanaged=true
 
EOF
 
 
最後に {{ic|systemd-networkd}} と {{ic|docker}} サービスを[[再起動]]してください。
 
   
 
=== デフォルトで使用できるプロセスやスレッドの数が少なすぎる ===
 
=== デフォルトで使用できるプロセスやスレッドの数が少なすぎる ===
265行目: 256行目:
 
以下のようなエラーメッセージが表示される場合:
 
以下のようなエラーメッセージが表示される場合:
   
  +
# e.g. Java
 
java.lang.OutOfMemoryError: unable to create new native thread
 
java.lang.OutOfMemoryError: unable to create new native thread
  +
# e.g. C, bash, ...
 
 
fork failed: Resource temporarily unavailable
 
fork failed: Resource temporarily unavailable
   
systemd によって許可されるプロセスの数を調整する必要があります。デフォルトは 500 ですが ({{ic|system.conf}} を参照)、複数の docker コンテナを動作させるには少なすぎます。以下のようなドロプインファイル作成してください:
+
systemd によって許可されるプロセスの数を調整する必要があります。デフォルトは 500 ですが ({{ic|system.conf}} を参照)、複数の docker コンテナを動作させるには少なすぎます。以下のスニペトで {{ic|docker.service}} [[編集]] してください:
   
{{hc|/etc/systemd/system/docker.service.d/tasks.conf|<nowiki>
+
{{hc|# systemctl edit docker.service|2=
 
[Service]
 
[Service]
 
TasksMax=infinity
 
TasksMax=infinity
  +
}}
</nowiki>}}
 
 
その後、systemd をリロードして {{ic|docker.service}} を再起動してください。
 
   
 
=== Error initializing graphdriver: devmapper ===
 
=== Error initializing graphdriver: devmapper ===
   
{{ic|systemctl}} で docker の起動に失敗して以下のエラーが表示される場合:
+
''systemctl'' で docker の起動に失敗して以下のエラーが表示される場合:
   
 
Error starting daemon: error initializing graphdriver: devmapper: Device docker-8:2-915035-pool is not a thin pool
 
Error starting daemon: error initializing graphdriver: devmapper: Device docker-8:2-915035-pool is not a thin pool
   
サービスを停止して、{{ic|/var/lib/docker/}} をバックアップし、{{ic|/var/lib/docker/}} の中身を消してから、サービスを起動してみてください。詳しくは [https://github.com/docker/docker/issues/21304 GitHub issue] を参照。
+
エラーを解消するために続く手順を試してください。サービスを停止して、{{ic|/var/lib/docker/}} を(必要に応じて)バックアップし、{{ic|/var/lib/docker/}} の中身を消してから、サービスを起動してみてください。詳しくは [https://github.com/docker/docker/issues/21304 GitHub issue] を参照。
   
 
=== Failed to create some/path/to/file: No space left on device ===
 
=== Failed to create some/path/to/file: No space left on device ===
   
Docker イメージの作成・実行時に以下のようにエラーメッセージが表示される場合:
+
以下のようにエラーメッセージが表示される場合:
   
 
ERROR: Failed to create some/path/to/file: No space left on device
 
ERROR: Failed to create some/path/to/file: No space left on device
   
ディスク容量が十分に存在するときは以下を確認してください:
+
Docker イメージの作成・実行時、ディスク容量が十分に存在するにもかかわらず表示されるときは以下を確認してください:
   
 
* [[Tmpfs]] が無効になっている、あるいは十分なメモリが割り当てられている。Docker が {{ic|/tmp}} にファイルを書き出そうとしていて、ディスク容量ではなくメモリ使用量が制限となっている可能性があります。
 
* [[Tmpfs]] が無効になっている、あるいは十分なメモリが割り当てられている。Docker が {{ic|/tmp}} にファイルを書き出そうとしていて、ディスク容量ではなくメモリ使用量が制限となっている可能性があります。
 
* [[XFS]] を使っている場合、{{ic|/etc/fstab}} の ({{ic|/tmp}} や {{ic|/var/lib/docker}} がある) エントリから {{ic|noquota}} マウントオプションを削除すると良いかもしれません。詳しくは[[ディスククォータ]]を参照してください。Docker ストレージドライバーの {{ic|overlay2}} を使用するときは特に注意してください。
 
* [[XFS]] を使っている場合、{{ic|/etc/fstab}} の ({{ic|/tmp}} や {{ic|/var/lib/docker}} がある) エントリから {{ic|noquota}} マウントオプションを削除すると良いかもしれません。詳しくは[[ディスククォータ]]を参照してください。Docker ストレージドライバーの {{ic|overlay2}} を使用するときは特に注意してください。
* XFS クォータのマウントオプション ({{ic|uquota}}, {{ic|gquota}}, {{ic|prjquota}} など) がファイルシステムの再マウント時に失敗している。ルートファイルシステムでクォータを使うには、マウントオプションを {{ic|1=rootflags=}} [[カーネルパラメータ]]で initramfs に渡す必要があります。その場合、{{ic|/etc/fstab}} マウントオプションとして指定してはいけません。
+
* XFS クォータのマウントオプション ({{ic|uquota}}, {{ic|gquota}}, {{ic|prjquota}} など) がファイルシステムの再マウント時に失敗している。ルートファイルシステムでクォータを使うには、マウントオプションを {{ic|1=rootflags=}} [[カーネルパラメータ]]で initramfs に渡す必要があります。その場合、root ({{ic|/}}) ファイルシステムの マウントオプションとして {{ic|/etc/fstab}} に指定してはいけません。
   
 
{{Note|XFS のクォータと Linux 標準の[[ディスククォータ]]には違いが存在します。詳しくは [http://inai.de/linux/adm_quota] を参照してください。}}
 
{{Note|XFS のクォータと Linux 標準の[[ディスククォータ]]には違いが存在します。詳しくは [http://inai.de/linux/adm_quota] を参照してください。}}
  +
  +
=== Invalid cross-device link in kernel 4.19.1 ===
  +
  +
docker 内で 'dpkg' のようなコマンドの実行に失敗する、例えば:
  +
  +
dpkg: error: error creating new backup file '/var/lib/dpkg/status-old': Invalid cross-device link
  +
  +
{{ic|1=overlay.metacopy=N}} [[カーネルパラメータ]] を追加するか、[https://github.com/docker/for-linux/issues/480 this issue] が解決するまで 4.18.x にダウングレードしてください。詳しくは [https://bbs.archlinux.org/viewtopic.php?id=241866 Arch forum] を参照。
   
 
== 参照 ==
 
== 参照 ==
   
  +
* [https://www.docker.com Official website]
 
* [https://docs.docker.com/engine/installation/linux/archlinux/ Arch Linux on docs.docker.com]
 
* [https://docs.docker.com/engine/installation/linux/archlinux/ Arch Linux on docs.docker.com]
 
* [http://opensource.com/business/14/7/docker-security-selinux Are Docker containers really secure?] — opensource.com
 
* [http://opensource.com/business/14/7/docker-security-selinux Are Docker containers really secure?] — opensource.com
* [[Wikipedia:ja:Docker]]
 

2018年12月2日 (日) 01:30時点における版

関連記事

Docker は軽量コンテナとしてあらゆるアプリケーションを詰めて運んで実行できるユーティリティです。

インストール

docker パッケージ、または開発版を使いたい場合は docker-gitAUR パッケージを インストール して下さい。次に docker.service起動 して有効化してください。動作検証するために、次を実行:

# docker info

有効な vpn 接続がある場合 docker サービスの起動に失敗することがあることに注意して下さい。このような場合、docker サービスの起動前に vpn を切断してみて下さい。その後すぐに vpn に再接続できます。

docker を通常ユーザーで実行できるようにしたい場合は、ユーザーを docker グループに追加してください。

警告: ユーザーを docker グループに追加することは root にするのと同義です。詳しくは こちらこちら を参照。
ノート: linux 4.15.0-1 の時点で、特定のプログラム(apt-get など)で必要な vsyscalls は、カーネルの設定ではデフォルトで無効になっています。再度有効にするには、vsyscall=emulateカーネルパラメータに追加します。さらに詳しい情報は FS#57336 を参照。

設定

ストレージドライバー

docker のストレージドライバー (グラフドライバー) は性能に大きな影響を与えます。ストレージドライバーはコンテナのイメージレイヤーを効率的に保存し、複数のイメージでレイヤーを共有している場合、ディスク容量を使用するレイヤーはひとつだけになります。デフォルトのストレージドライバーである devicemapper は次善的な性能しか発揮できず、ハードディスクでは問題外です。したがって、プロダクション環境で devicemappper を使用することは推奨されません。

Arch Linux のカーネルは新しいため、古いドライバーを使用する意味はありません。overlay2 が新しいドライバーです。

現在のストレージドライバーを確認するには # docker info | head を実行してください。最近の docker 環境では overlay2 がデフォルトで使われます。

自分で選択したストレージドライバーを設定するには、/etc/docker/daemon.json (無い場合は作成して下さい)を編集して下さい:

/etc/docker/daemon.json
{
  "storage-driver": "overlay2"
}

その後、docker を 再起動 して下さい。

オプションに関する詳細は ユーザーガイド を見てください。 daemon.json の中のオプションの詳細は dockerd のドキュメント を見てください。

Remote API

ポート 4243 で Remote API を手動で開くには:

# /usr/bin/dockerd -H tcp://0.0.0.0:4243 -H unix:///var/run/docker.sock

-H tcp://0.0.0.0:4243 で Remote API が開かれます。

-H unix:///var/run/docker.sock はターミナルからホストマシンにアクセスできるようにします。

Remote API と systemd

docker デーモンで Remote API を起動するには、以下の内容でドロップインスニペットを作成してください:

/etc/systemd/system/docker.service.d/override.conf
[Service]
ExecStart=
ExecStart=/usr/bin/dockerd -H tcp://0.0.0.0:4243 -H unix:///var/run/docker.sock

デーモンのソケットの設定

docker デーモンはデフォルトで Unix ソケットを使います。特定のポートを listen させるには、以下の内容の ドロップインスニペット を作成してください:

/etc/systemd/system/docker.socket.d/socket.conf
[Socket]
ListenStream=0.0.0.0:2375

プロキシ

プロキシの設定は2つに分けられます。ひとつは Docker デーモンのホストの設定で、もうひとつはコンテナからプロキシにアクセスできるようにするための設定です。

プロキシの設定

以下の内容でドロップインスニペットを作成:

/etc/systemd/system/docker.service.d/proxy.conf
[Service]
Environment="HTTP_PROXY=192.168.1.1:8080"
Environment="HTTPS_PROXY=192.168.1.1:8080"
ノート: これはあなたのプロクシサーバが 192.168.1.1 だと仮定しています、127.0.0.1 は使わないでください。

設定がロードされたことを確認:

# systemctl show docker --property Environment
Environment=HTTP_PROXY=192.168.1.1:8080 HTTPS_PROXY=192.168.1.1:8080

コンテナの設定

docker.service ファイルの設定はコンテナには適用されません。DockerfileENV 変数を設定する必要があります:

FROM base/archlinux
ENV http_proxy="http://192.168.1.1:3128"
ENV https_proxy="https://192.168.1.1:3128"

Docker は Dockerfile で ENV を使って設定する方法について詳しい情報を提供しています。

DNS の設定

デフォルトでは、docker はホストマシンにある resolv.conf と同じ中身の resolv.conf をコンテナに作成します。その際、ローカルアドレス (例: 127.0.0.1) は消されます。それによって resolv.conf が空ファイルになった場合、Google の DNS サーバー が記述されます。dnsmasq などのサービスを利用して名前を解決するようにしたい場合、設定が消されないように docker のネットワークインターフェイス用にエントリを /etc/resolv.conf に追加する必要があります。

systemd-networkd 上に手動で定義したネットワークで Docker を実行

バージョン 220 または それ以上systemd-networkd を使ってネットワークを手動設定している場合、Docker で起動したコンテナがネットワークにアクセスできない場合があります。バージョン 220 から、ネットワークの転送設定 (net.ipv4.conf.<interface>.forwarding) はデフォルトで off です。この設定で IP フォワーディングが使えません。また、コンテナの中で Docker によって有効になる net.ipv4.conf.all.forwarding の設定と衝突します。

インターネットにアクセスするには、Docker のホスト側で /etc/systemd/network/ にある <interface>.network ファイルを編集して IPForward=kernel を追加してください:

/etc/systemd/network/<interface>.network
[Network]
...
IPForward=kernel
...

上記の設定でコンテナから IP フォワーディングが使えるようになります。

イメージの置き場所

デフォルトでは、docker のイメージは /var/lib/docker に保存されます。置き場所は別のパーティションに移動することが可能です。 まず、docker.service停止してください。

docker イメージを起動したことがある場合、イメージが完全にアンマウントされていることを確認します。そうしたら、イメージを /var/lib/docker から好きな場所に移動してください。

その後、docker.serviceドロップインスニペットを作成して、ExecStart--data-root パラメータを追加してください:

/etc/systemd/system/docker.service.d/docker-storage.conf
[Service]
ExecStart= 
ExecStart=/usr/bin/dockerd --data-root=/path/to/new/location/docker -H fd://

安全ではないレジストリ

もしプライベートレジストリに自己署名証明書を使うことに決めた場合、あなたが信頼すると宣言するまで Docker はその使用を拒否します。 docker.serviceドロップインスニペット を追加して、--insecure-registry パラメータを dockerd に追加してください:

/etc/systemd/system/docker.service.d/override.conf
[Service]
ExecStart=
ExecStart=/usr/bin/dockerd -H fd:// --insecure-registry my.registry.name:5000

イメージ

Arch Linux

次のコマンドは archlinux/base x86_64 イメージを取得します。これはネットワーク、その他を削減したバージョンの Arch core です:

# docker pull archlinux/base

詳しくは README.md を参照してください。

完全な Arch base を得るには、上記から repo を clone して自分でイメージを作成してください。

$ git clone https://github.com/archlinux/archlinux-docker.git

'base' のみを含めるようにパッケージファイルを編集してください。そして実行:

# make docker-image

Debian

以下のコマンドで debian x86_64 イメージが取得されます:

# docker pull debian

手動

debootstrap で Debian イメージを作成:

# mkdir jessie-chroot
# debootstrap jessie ./jessie-chroot http://http.debian.net/debian/
# cd jessie-chroot
# tar cpf - . | docker import - debian
# docker run -t -i --rm debian /bin/bash

Docker とイメージの削除

Docker を完全に削除したい場合は以下の手順に従ってください。

ノート: コマンドを実行する前にどういう意味なのか考えてください。何も考えずにコピーアンドペーストしてはいけません。

実行中のコンテナをチェック:

# docker ps

削除するホストで実行中の全てのコンテナを確認:

# docker ps -a

実行中のコンテナを停止:

# docker stop <CONTAINER ID>

停止しないコンテナを終了:

# docker kill <CONTAINER ID>

ID で指定して全てのコンテナを削除:

# docker rm <CONTAINER ID>

全ての Docker イメージを確認:

# docker images

ID で指定して全てのイメージを削除:

# docker rmi <IMAGE ID>

全ての Docker データを削除:

# rm -R /var/lib/docker

便利なヒント

実行中のコンテナの IP アドレスを取得するには:

$ docker inspect --format='{{range .NetworkSettings.Networks}}{{.IPAddress}}{{end}}' <container-name OR id> 
172.17.0.37

それぞれの実行中のコンテナについて、/etc/hosts で使うために名前と対応する IP アドレスを出力:

#!/usr/bin/env sh
for ID in $(docker ps -q | awk '{print $1}'); do
    IP=$(docker inspect --format="{{range .NetworkSettings.Networks}}{{.IPAddress}}{{end}}" "$ID")
    NAME=$(docker ps | grep "$ID" | awk '{print $NF}')
    printf "%s %s\n" "$IP" "$NAME"
done

トラブルシューティング

systemd 232 でコンテナが起動できない

カーネルパラメータとして systemd.legacy_systemd_cgroup_controller=yes を追加してください。詳しくは バグレポート を参照。

Btrfs ファイルシステムで Docker イメージを消去

btrfs ファイルシステムで docker イメージを削除すると /var/lib/docker/btrfs/subvolumes/ にサイズが0のイメージが残されてしまいます。これを削除しようとするとパーミッションエラーが表示されます:

# docker rm bab4ff309870
# rm -Rf /var/lib/docker/btrfs/subvolumes/*
rm: cannot remove '/var/lib/docker/btrfs/subvolumes/85122f1472a76b7519ed0095637d8501f1d456787be1a87f2e9e02792c4200ab': Operation not permitted

このエラーは btrfs が docker イメージのためにサブボリュームを作成したのが原因です。したがって削除するときの正しいコマンドは次のようになります:

# btrfs subvolume delete /var/lib/docker/btrfs/subvolumes/85122f1472a76b7519ed0095637d8501f1d456787be1a87f2e9e02792c4200ab

docker0 ブリッジが IP を取得できない / コンテナからインターネットにアクセスできない

Docker は自分で IP フォワーディングを有効にしますが、デフォルトでは systemd-networkd によって sysctl の設定が上書きされてしまいます。ネットワークプロファイルに IPForward=yes を設定してください。詳しくは インターネット共有#パケット転送の有効化 を参照してください。

デフォルトで使用できるプロセスやスレッドの数が少なすぎる

以下のようなエラーメッセージが表示される場合:

# e.g. Java
java.lang.OutOfMemoryError: unable to create new native thread
# e.g. C, bash, ...
fork failed: Resource temporarily unavailable

systemd によって許可されるプロセスの数を調整する必要があります。デフォルトは 500 ですが (system.conf を参照)、複数の docker コンテナを動作させるには少なすぎます。以下のスニペットで docker.service編集 してください:

# systemctl edit docker.service
[Service]
TasksMax=infinity

Error initializing graphdriver: devmapper

systemctl で docker の起動に失敗して以下のエラーが表示される場合:

Error starting daemon: error initializing graphdriver: devmapper: Device docker-8:2-915035-pool is not a thin pool

エラーを解消するために続く手順を試してください。サービスを停止して、/var/lib/docker/ を(必要に応じて)バックアップし、/var/lib/docker/ の中身を消してから、サービスを起動してみてください。詳しくは GitHub issue を参照。

Failed to create some/path/to/file: No space left on device

以下のようにエラーメッセージが表示される場合:

ERROR: Failed to create some/path/to/file: No space left on device

Docker イメージの作成・実行時、ディスク容量が十分に存在するにもかかわらず表示されるときは以下を確認してください:

  • Tmpfs が無効になっている、あるいは十分なメモリが割り当てられている。Docker が /tmp にファイルを書き出そうとしていて、ディスク容量ではなくメモリ使用量が制限となっている可能性があります。
  • XFS を使っている場合、/etc/fstab の (/tmp/var/lib/docker がある) エントリから noquota マウントオプションを削除すると良いかもしれません。詳しくはディスククォータを参照してください。Docker ストレージドライバーの overlay2 を使用するときは特に注意してください。
  • XFS クォータのマウントオプション (uquota, gquota, prjquota など) がファイルシステムの再マウント時に失敗している。ルートファイルシステムでクォータを使うには、マウントオプションを rootflags= カーネルパラメータで initramfs に渡す必要があります。その場合、root (/) ファイルシステムの マウントオプションとして /etc/fstab に指定してはいけません。
ノート: XFS のクォータと Linux 標準のディスククォータには違いが存在します。詳しくは [1] を参照してください。

Invalid cross-device link in kernel 4.19.1

docker 内で 'dpkg' のようなコマンドの実行に失敗する、例えば:

dpkg: error: error creating new backup file '/var/lib/dpkg/status-old': Invalid cross-device link

overlay.metacopy=N カーネルパラメータ を追加するか、this issue が解決するまで 4.18.x にダウングレードしてください。詳しくは Arch forum を参照。

参照