Данная статья применима к:
- Astra Linux Special Edition РУСБ.10015-01 (очередное обновление 1.7), РУСБ.10015-37 (очередное обновление 7.7), РУСБ.10015-10 c установленным обновлением БЮЛЛЕТЕНЬ № 2022-0819SE17 (оперативное обновление 1.7.2) с подключенным расширенным репозиторием;
- Astra Linux Special Edition РУСБ.10015-17 с подключенным расширенным репозиторием.
Внимание!
Программное обеспечение расширенного репозитория является сторонним по отношению к Astra Linux, не дорабатывается с точки зрения выполнения требований по безопасности информации и не проверяется при сертификации.
Подробнее см. Использование стороннего программного обеспечения в аттестованных информационных системах, функционирующих под управлением Astra Linux Special Edition.
При использовании программного обеспечения расширенного репозитория рекомендуется для дополнительной изоляции процессов осуществлять их запуск в изолированной программной среде (контейнере) [п. 7.2 РукКСЗ1]. При использовании для этих целей Docker-контейнеров их запуск целесообразно осуществлять от имени непривилегированного пользователя в rootless-режиме, а при включенном мандатном контроле целостности (МКЦ) с применением технологии запуска контейнеров на пониженном [п. 7.2.1] или выделенном [п. 7.2.7] уровне МКЦ.
Введение
Podman — инструмент командной строки с открытым исходным кодом, предоставляющий возможности поиска, сборки, передачи и запуска приложений в контейнерной изоляции. Функционально podman аналогичен системе контейнерной изоляции docker, но предоставляет дополнительные возможности по управлению группами контейнеров (container orchestration) и может работать без прав доступа суперпользователя (root). По умолчанию podman использует в качестве средства контейнеризации библиотеку crun (ранее runc). Работа с контейнерами без прав суперпользователя имеет следующие особенности:
- файлы непривилегированных пользователей хранятся в их домашних каталогах, подкаталог .local/share/containers;
- непривилегированные пользователи по умолчанию не могут использовать привилегированные сетевые порты и некоторые команды;
Podman использует контейнеры стандарта Open Container Initiative (OCI), что обеспечивает совместимость с образами docker.
Термины
Терминология podman совпадает с терминологией docker, см. Применение системы изоляции приложений docker в ОС Astra Linux Special Edition 1.7.
Дополнительно применяются термины:
- под (pod) — группа контейнеров, выполняющихся совместно и разделяющих общие ресурсы. Подробное описание концепции подов доступно по ссылке: Pods;
- регистр (registry) — служба, обеспечивающая хранение и распространение образов;
- репозиторий (repository) — хранилище образов;
- тэг (tag) — буквенно-цифровой идентификатор, присваиваемый образу в репозитории для дифференциации версий образов.
Установка
Инструмент podman представлен одноименным пакетом podman. Для установки пакета требуется подключить расширенный репозиторий. После подключения репозитория пакет может быть установлен с помощью Графический менеджер пакетов synaptic или из командной строки командой:
Дополнительно сразу можно установить пакет crun, который может использоваться в качестве альтернативного средства контейнеризации.
Стандартные команды
Стандартный вызов инструмента имеет следующий синтаксис:
- опции — необязательные модификаторы команд;
- podman-команда — действие к исполнению. Команды при этом имеют собственные опции и аргументы и могут иметь собственные подкоманды, например docker pod create.
Стандартные команды podman в основном аналогичны командам docker. Получить список опций и команд с их описанием можно выполнив команду:
Пример вывода команды:
Подробные справки по podman-командам доступны в справочной системе man. Названия страниц справок формируются как podman-<команда>[-<подкоманда>]. Например, для команды attach справка может быть получена командой:
Базовый функционал
Включение отладки
Для включения отладки используется опция --log-level с указанием требуемого уровня отладки. Возможные уровни отладки (перечислены в порядке уменьшения количества выводимой информации):
- trace;
- debug;
- info;
- warn (применяется по умолчанию);
- warning;
- error;
- fatal;
- panic.
Отладочная информация выводится в стандартный поток сообщений об ошибках (stderr).
Пример:
podman --log-level debug ps -a
Загрузка готовых образов
Готовые образы доступны в сети Интернет в репозиториях (registry) образов. Для загрузки образа можно использовать podman-команду pull:
registry.astralinux.ru/library/alse:1.7.4
. Как и в docker, поиск и загрузка образа могут быть выполнены одной командой запуска контейнера (run), например загрузка образа и запуск контейнера Astra Linux Special Edition 1.7.4 из репозитория registry.astralinux.ru:
Примеры общедоступных репозиториев образов:
Получить список используемых репозиториев можно командой:
map[search:[registry.redhat.io docker.io]]
Поиск готовых образов
Для поиска образов в репозиториях используется podman-команда search.
Репозиторий, в котором должен выполняться поиск, может быть указан в аргументе команды как префикс шаблона для поиска. Например, поиск шаблона nginx в репозитории образов docker.io:
Не рекомендуется использовать эту возможность, так как существует риск подмены образа одноименным из ранее указанного репозиотрия.
Рекомендуется всегда использовать полные имена образов (имена с явным указанием репозиториев).
unqualified-search-registries = [ 'registry.redhat.io', 'docker.io']
При этом поиск будет выполняться в том порядке, в котором перечислены репозитории.
Полное описание синтаксиса файла /etc/containers/registries.conf доступно в справочной системе man:
Список загруженных образов
Список загруженных образов можно получить podman-командой images:
Пример вывода команды:
REPOSITORY TAG IMAGE ID CREATED SIZE registry.astralinux.ru/library/alse 1.7.4 557b8fe356eb 7 weeks ago 98.4 MB
Запуск контейнера из образа
Для запуска контейнера из загруженного образа используется podman-команда run, например:
Получение списка запущенных и сохраненных контейнеров
Для получения списка запущенных (работающих) контейнеров используется docker-команда ps:
CONTAINER ID IMAGE COMMAND CREATED STATUS PORTS NAMES 0468d9f62e2d registry.astralinux.ru/library/alse:1.7.4 /bin/bash 12 seconds ago Exited (0) 5 seconds ago priceless_hertz
Далее для идентификации контейнеров используются либо их числовые идентификаторы (CONTAINER ID) либо имена (NAMES).
Запуск сохраненного контейнера
Для запуска сохраненного контейнера используется podman-команда start, например:
Для остановки контейнера используется podman-команда stop:
Удаление контейнера
Перед удалением контейнер должен быть остановлен.
Команда:
Получение информации о контейнере, журналов контейнера, статистики работы контейнеров
Получение полной информации о контейнере:
Удаление образа
Для удаления образа предварительно необходимо остановить и удалить все созданные из него контейнеры.
Команда:
Создание собственного контейнера из существующего образа
echo -e "FROM registry.astralinux.ru/library/alse:1.7.4\nRUN mkdir /testdir\nRUN echo test > /testdir/testfile" > Dockerfile
podman build -t testbuikd .
Создание собственного образа
Для создания образов можно использовать модифицированный сценарий из статьи Создание Docker-образов Astra Linux, заменив в нем команды docker на команды podman:
Для применения сценария требуется установить пакет debootstrap:
#!/bin/sh if [ -z $REPO ]; then REPO="https://dl.astralinux.ru/astra/stable/orel/repository" fi set -e IMAGE="${IMAGE:-astra_linux_ce_2.12}" ROOTFS_IMAGE="$IMAGE-rootfs" CODENAME="${CODENAME:-orel}" TMPDIR=`mktemp -d` cd $TMPDIR cleanup() { cd $HOME # debootstrap leaves mounted /proc and /sys folders in chroot when terminated by Ctrl-C sudo umount $TMPDIR/proc $TMPDIR/sys 2>&1 >/dev/null || true # Delete temporary data at exit sudo rm -rf $TMPDIR } trap cleanup EXIT sudo -E debootstrap --no-check-gpg --variant=minbase --include=apt-transport-https,ca-certificates \ --components=main,contrib,non-free "$CODENAME" ./chroot "$REPO" echo "deb $REPO $CODENAME contrib main non-free" | sudo tee ./chroot/etc/apt/sources.list podman rmi "$ROOTFS_IMAGE" || true sudo tar -C chroot -c . | podman import - "$ROOTFS_IMAGE" podman rmi "$IMAGE" || true podman build --network=host --no-cache=true -t "$IMAGE" - <<EOF FROM $ROOTFS_IMAGE ENV TERM xterm-256color ENV DEBIAN_FRONTEND noninteractive RUN apt-get update WORKDIR / CMD bash EOF printf 'podman image `%s` has been generated\n' "$IMAGE" exit 0
Запустим:
# ./build.sh
...
podman image `astra_linux_ce_2.12` has been generated
umount: /tmp/tmp.b6LT9fyry0/proc: no mount point specified.
umount: /tmp/tmp.b6LT9fyry0/sys: no mount point specified.
# podman images
REPOSITORY TAG IMAGE ID CREATED SIZE
localhost/astra_linux_ce_2.12 latest 50c61172d57c 9 seconds ago 218 MB
# podman run -ti astra_linux_ce_2.12 bash
root@9145be5d7e9e:/# cat /etc/astra_version
CE 2.12.44 (orel)
Создание собственного репозитория образов
https://thenewstack.io/tutorial-host-a-local-podman-image-registry/
Загрузка образа в репозиторий
Оркестрация контейнеров (работа с подами)
Создание нового пода
Создание нового пода:
При создании пода:
- если имя пода не задано то используется случайно сгенериророванное имя;
- генерируется полный идентификатор (выводится на экран при успешном создании пода);
- в поде создается служебный контейнер (так называемый infra-контейнер), для чего загружается специальный образ podman-pause. Этот контейнер не выполняет никаких функций, а используется для резервирования места для пода в пространстве имен. Это позволяет в дальнейшем подключать к поду другие (функциональные) контейнеры.
В дальнейшем поды идентифицируются именами или идентификаторами - полным идентификатором, или кратким (первые символы полного идентификатора).
Список существующих подов
Проверить список подов можно командой:
POD ID NAME STATUS CREATED INFRA ID # OF CONTAINERS 312fb1c5553f testpod Created 22 minutes ago 76972a488dbb 1
Команда отображает краткий идентификатор пода (POD ID, для отображения полных идентификаторов использовать опцию --no-trunc), имя пода (NAME), а также идентификатор infra-контейнера (INFRA ID). Количество контейнеров (# OF CONTAINERS) в новом поде всегда один — это служебный infra-контейнер. Статус пода (STATUS) может иметь следующие значения:
- Created — в поде нет исполняющихся или остановленных контейнеров;
- Running — хотя бы один контейнер исполняется;
- Stopped — исполняющихся контейнеров нет, есть хотя бы один остановленный;
- Exited — все контейнеры остановлены.
- Dead — ошибка получения статуса.
Получить имена контейнеров в подах можно командой:
POD ID NAME STATUS CREATED INFRA ID NAMES 312fb1c5553f testpod Created 56 minutes ago 76972a488dbb friendly_rhodes,312fb1c5553f-infra,brave_turing
Имена контейнеров перечислены в столбце NAMES через запятую.
Добавление контейнера в под
Для добавления контейнеров в под используются podman-команды создания и запуска контейнеров с опцией --pod=<идентификатор_пода>, например:
Управление подами
Команды для управления подами:
Команда | Справочная страница | Description |
---|---|---|
clone | Создать копию существующего пода. | |
create | Создать новый под. | |
exists | Проверить, существует ли под в локальном хранилище. | |
inspect | Получить описание пода. | |
kill | Прекратить основной процесс в одном или нескольких подах. | |
logs | Получить журналы пода для одного или нескольких контейнеров. | |
pause | Приостановить один или несколько подов. | |
prune | Удалить все остановленные поды и их контейнеры. | |
ps | Получить список подов. | |
restart | Перезапустить один или несколько подов. | |
rm | Удалить один или несколько остановленных подов. | |
start | Запустить один или несколько подов. | |
stats | Получить статистику использования ресурсов одного или нескольких подов. | |
stop | Остановить один или несколько подов. | |
top | Получить список исполняющихся процессов в контейнерах пода. | |
unpause | Запустить приостановленные один или несколько подов. |