Термины

Виртуализация - технология, позволяющая запускать экземпляры операционных систем (гостевые машины) параллельно и изолированно на единственной хост-машине. При этом каждой гостевой машине предоставляются собственные ресурсы, а гостевая операционная система может быть полностью отличной от операционной системы хост-машины.

Гипервизор - программное обеспечение, позволяющее запускать многожественные гостевы (виртуальные) машины на единственной физической машине (хост-машине), а также обеспечивающее  передоставление ресурсов виртуальным машинам.

Гостевая машина - виртуальная машина, запускаемая в изолированной среде системы виртуализации внутри хост-машины.

Гостевая операционная система - операционная система, работающая на гостевой машине.

Хост-машина - машина, в операционной системе которой запускатся система виртуализации и работающие в этой системе виртуализации гостевые машины.

Системы виртуализации  в ОС СН

В состав ОС СН входят две системы виртуализации, поддерживающие два описанных выше типа виртуальзации:

• libvirt - система полной виртуальзации;
• docker - система контейнерной вартуализации.

Система контейнерной виртуализации Docker

Термины

Образ - набор упорядоченных слоёв, фактически сумма изменений, внесённых в систему, текущее состояние системы;

Слой - в трактовке Docker набор изменений файловой системы, другими словами - некий моментальный снимок  состояния системы. Слои доступны только для чтения, каждое изменение порождает новый слой. Любой слой может использоваться несколькоми образами одновременно;

Контейнер - экземпляр образа docker, образ, находящийся в работе, то есть образ с новым слоем текущих изменений. При работе контейнера все изменния сохраняются в новом слое, а все предыдущие слои остаются неизменными;

Реестр образов - сетевое хранилище подготовленных образов, доступных для загрузки на целевые машины.

Особенности

Система контейнерной виртуализации Docker позиционируется не только как система виртуализации, но как система быстрого распространения и развёртывания приложений.

Традиционный способ развёртывания приложений предполагает:

• передачу пользователю приложения комплекта неких файлов приложения как правило:
  • исполнимый файл;
  • конфигурационный файл;
  • сценарии установки и удаления;
  • инструкции по установке;
• выполнение пользователем для развёртывания предоставленных сценариев и инструкций на целевой машине.

При этом, несмотря на то, что разработчиками приложений тратятся значительные усилия на создание сценариев развёртывания, учитывающих всевозможные особенности целевыз машин и возможные конфликты с другими приложениями, выполение действий по установке часто завершается неудачей, 

Docker предлагает альтернативный вариант развёртывания: поставщик приложений передаёт пользователям приложений предварительно настроенные контейнеры с приложениями. Эти контейнеры просто запускаются пользователем на целевой машине, предоставляя каждому приложению изолированное преднастроенное окружение для работы. Таким образом исключается существенная часть ошибок, связанных с предварительной настройкой нестандартных пользовательских систем. Хорошим примером использования возможностей Docker по быстрому развёртыванию приложений явлется пример развёртывания собственного реестра образов, выполняемого путём простого скачивания подготовленного образа (см. раздел "Администрировани" - "Создание собственного реестра образов").

При этом, по сравнению с системами полной виртуализации, запуск контейнеров требует значительно меньших вычислительныз ресурсов, и, кроме того, Docker для экономии ресурсов поддерживает систему повторного использования "слоёв". "Слой" в терминологии Docker - это некий моментальный снимок состояния системы, а "образ" - это итоговое состояние системы с учетом cостояний всех подлежащих слоёв. При этом "слои" могут использоваться повторно разными "образами":

Дополнительным эффектом от повторного использования "слоёв" является снижение объёмов передаваемых данных при передаче подготовленных в виде образов прикладных программ: при использовании реестра образов Docker передаваться будет только новые слои, в примере выше - слой "Базовая система Astra Linux SE" будет загружен из реестра образов только один раз, далее загружаться будут только новые слои.

Ограничения Docker

Администрирование Docker

Установка Docker

В ОС СН Смоленск 1.7 Docker представлен пакетом docker.io и может быть установлен с помощью графического менеджера пакетов или из командной строки командой:

Установка выполняется от имени пользователя, являющегося администратором системы, и после установки Docker рекомендуется предоставить этому пользователю право работать с контейнерами не используя sudo. Для этого пользователя нужно включить в группу docker: Изменение вступит в силу после перезапуска пользовательской сессии.

Для более ранних версий Astra Linux см. статью: Установка и настройка Docker в ОС Astra Linux

Создание собственного реестра образов

Загрузить подготовленный образ Docker, содержащий приложение "Реестр образов Docker". Образ "Реестр образов Docker" загружается из реестра образов Docker:

После выполнения указанной команды локальный реестр образов автоматически запущен и готов к работе. Управление работой контейнера реестра осуществляется так же как управление любым другим контейнером. например остановка работы реестра:

Удаление реестра:

Настройка внешнего доступа к собственному реестру

Создание собственного образа

См. статью: Создание собственного образа для использования в Docker

Управление Docker-ом

Подробная справка по командному интерфейсу Docker представлена на сайте разработчиков: https://docs.docker.com/engine/reference/commandline/docker/. При работе в системе список команд можно получить с помощью команды:

Более подробную справку по аргументам команд можно получить с помощью ключа --help, например: Часто употребимые команды (аргументы команд для краткости не указаны):

Загрузка образа в реестр

Получить список доступных на локальной машине образов:

Пометить загружаемый образ тэгом (tag) для загрузки в нужный реестр: Перепроверить список доступных образов, чтобы убедиться, что тэг присвоен верно: В примере выше первые две строки сообщают об одном и том же образе (идентификатор образа 5d69ce8720a7). При этом образ помечен как размещенный в двух локациях - на локальной машине wiki/astralinux и сетевом реестре на локальной машине localhost:5000.

Загрузить образ в реестр:

Использование Docker

Получение образа из реестра

Пример получения образа Docker из реестра описан выше (см. "Создание собственого реестра образов"). При этом для получения образа используется просто команда запуска контейнера (docker run), которая, не найдя на локальной машине указанный образ, ищет образ в реестре образов, и, если образ найден, автоматически загружает и запускает его.

Образ также можно просто загрузить из реестра с помощью команды docker pull, например:

Копирование образа без использования реестра

Образ, хранящийся на локальной машине может быть скопирован (например, на другую (целевую) машину) без использования реестра образов. Далее для примера используется стандартный образ hello-world из реестра образов Docker. Перенос образа на другую машину:

1. Выгрузить образ в файл архива:

   docker save -o hello-world.bz2 hello-world
   Опция -o указывает имя файла, в который нужно выводить данные. Если опция не указана, то вывод осуществляется в стандартный вывод (stdout), что можно использовать для автоматизации работы (см. далее).
    

2. Скопировать полученный файл hello-world.bz2 на целевую машину любым доступным способом;
   
   

3. На целевой машине загрузить файл в локальный реестр образов:

   docker load -i hello-world.bz2
   Опция -i указывает имя файла, из которого должен заружаться образ. Если опция не указана - образ загружается из стандартного ввода.

Или, как вариант, выполнить все указанные выше шаги одной командой, скопировав создаваемый файл через SSH (естественно, на целевом компьютере для этого должен быть настроен SSH):

Где:

• docker save hello-world - команда выгрузки образа с именем hello-world. В отличие от примера выше команда используется без указания файла, то есть выводит в стандатный вывод (stdout);
• bzip2 - программа сжатия данных (архиватор);
• ssh user@host 'bunzip2 | docker load' - подключение через SSH к компьютеру с именем host от имени пользователя user и запуск команды загрузки образа из стандартного ввода (stdin). Пользователь user на целевом компьютере должен иметь право работать с Docker без использования sudo.

Создание контейнеров из образов и основы работы с контейнерами

При запуске приложений, упакованных в контейнеры Docker, важно понимать разницу между "образом" (неизменяемым набором данных) и "контейнером" (изменяемым набором данных, создаваемых из "образа").

Для примера используем стандартный образ busybox, который загрузим из ресстра Docker:

Исходное состояние: в локальном репозитори имеется образы hello-world и busybox:
И нет ни одного контейнера:

Создание нового контейнера из образа busybox и его запуск выполняется одной командой:

Где:

• --name run-busybox - присвоить создаваемому контейнеры имя run-busybox. Имя можно не указывать, тогда оно будет создано автоматически.
• --rm - уничтожить контейнер после завершения его работы;
• -i - запустить контейнер в интерактивном режиме;
• -t - создать терминал;
• /# - приглашение интераутивного режима запущенного контенера и ожидание ввода.

Проверим из отдельной терминальной сессии список контейнеров:

В списке появился новый контейнер с именем run-busibox.

Вернёмся в первую терминальную сессию, и выйдем из интерактивного контейнера командой exit. Повторная проверка командой docker container ls -a покажет, что список контейнеров пуст (опция --rm указывает удалить контейнер после завершения работы).

Повторно запустим контейнер, уже без опции --rm, и, для примера, не задавая имя контейнера:

Снова проверим список контейнеров из отдельной сессии:
В списке появился новый контейнер с автоматически созданным именем amazing_morse.
Снова вернёмся в первую терминальную сессию, и выйдем из интерактивного контейнера командой exit. Повторная проверка покажет, что теперь в списоке контейнеров сохранился контейнер:
Повторно выполним команду docker run:
И из отдельной терминальной сессии увидим, что контейнеров теперь стало 2: 1) ранее созданный amazing_morse (неактивный) и 2) новый admiring_murdock (активный):
То есть:

Для запуска созданного и сохранённого контейнера используется команда docker start (обратите внимание, используется не образ, а контейнер):

опции -ai задают подключение в интерактивном режиме, но контейнер можно можно запустить и в фоновом режиме: К контейнеру работающему в фоновом режиме можно подключиться командой docker attach:
Оключиться от конейнера, не останавливая его, можно нажав последовательно клавиши Ctrl+p Ctrl+q. Или можно остановить контейнер, введя команду exit.

Выше описно, как работать с контейнерами, в том числе сохраняя сделанные изменения. То есть, первоначальный образ можно "изменить" (естественно, не сам образ, который неизменен, изменения регистрируются в контейнере), и далее контейнер можно преобразовать в образ:

Проверим список образов:

Монтирование файловых ресурсов хост-машины

Docker поддерживает следующие варианты монтирования файловых ресурсов хост-машины:

• bind - монтирование файла или каталога хост-машины в контейнер. Примонтированный ресурс доступен по его абсолютному пути на хост машине.

  Метод монтирования является устаревшим и не рекомендуется к применению.
• mount - монтирование заранее созданных изолированных томов для размещения данных.
• tmpfs - монтирование временных ресурсов вне файловой системы хост-машины и вне изменяемого слоя контейнера в памяти хост-машины. Данные уничтожаются после остановки контейнера и не могут разделяться между контейнерами.

Опции монтирования задаются при создании контейнеров из образов, и сохраняются в параемтрах контейнера. Опции монтирования могут задаваться в двух альтернативных форматах: "формат -v" и "формат --mount". Значение "формат -v" состоит их трех фиксированных полей, разделённых символами двоеточия: ресурс монтирования, точка монтирования, опции монтирования. Значение "формат --mount" состоит из списка пар вида "опция=значение", разделённых запятыми, см. примеры далее. Опции монтирования в варианте bind фактически отличается от опция монтирования в варианте mount названием монтируемого ресурса: в первом случае это путь к файловому объекту, во втором - имя заранее созданного тома монтирования. Если точка монтирования внутри контейнера не существует то она создается автоматически, причем всегда в виде каталога.

Опции монтировниния "формат --mount":

Запуск контейнера с bind-монтированием текущего каталога на хост-машине в каталог /app контейнера:

Создание тома с именем my-vol для последующего монтирования:

Запуск контейнера с mount-монтированием тома my-vol на хост-машине в каталог /app контейнера:

Запуск контейнера с tmpfs-монтированием:

Возможный сценарий применения Docker

Таким образом, возможный сценарий применения Docker:

1. Создать (загрузить) исходный образ;
2. Создать из этого образа контейнер, работая в котором выполнить и сохранить дополнительные настройки;
3. Конвертировать контейнер с выполненными настройками в новый образ;
4. Скопировать новый образ на целевые машины для использования;
5. На целевых машинах:
   1. Можно использовать контейнеры, сохраняющие возникающие при эксплуатации изменения в этих контейнерах;
   2. Можно использовать образ, монтируя к нему внешние каталоги, в которых сохраняются изменения, не сохраняя изменения в контейнерах;
   3. Можно комбинировать указанные варианты.