LXC, Docker, LXD &snaps

Notas del editor

• #3: Que es un contenedor? Elevator pitch: - algo a lo que le puedo hacer ssh - algo a lo que se parece a una VM Mas bajo nivel: - usa el kernel del host - no puede levantar sus propios modulos. - no necesita init como PID1
• #6: initrd usa esto
• #9: Threads: Permitted, Inheritable, Effective, Ambient. Files: Permitted, Inheritable, Effective.
• #10: Lo que ve un proceso. Como lo ve
• #12: Cada namespace tiene asignado su propio inode El namespace se termina cuando todos sus procesos se terminan y nadie se agarra del inode.
• #13: unshare --map-root-user --user bash touch s ls -l s exit ls -l s
• #14: unshare -m --map-root-user --user bash cat /proc/self/mounts mount -n -o size=1m -t tmpfs tmpfs $(mktemp -d –tmpdir=/tmp) cat /proc/self/mounts|tail -1
• #15: No se si este lo usa docker. Nesting de hasta 32 Sirve para containers o para facilitar process migration, por ej usando CRIU Evitamos colisiones si los procesos que se migran viven en su propio ns. CRIU → Checkpoint-Restore In Userspace. openVZ tiene su propia implementacion
• #16: When an IPC namespace is destroyed (i.e., when the last process that is a member of the namespace terminates), all IPC objects in the namespace are automatically destroyed.
• #17: El mas simple de implementar en el kernel. Su estructura de datos tiene solamente 6 miembros: - sysname - nodename - release - version - machine - domainname
• #18: kernel struct es gigante loopback device SNMP todas las tablas de red. network fs profs sysfs sockets Para comunicar namespaces usamos veth, todos los veth se conectan a un bridge (docker0). al crearse se crea un dispositivo de loopback un socket pertenece a un solo namespace When a network namespace is freed (i.e., when the last process in the namespace terminates), its physical network devices are moved back to the initial network namespace (not to the parent of the process).
• #19: # user unshare --map-root-user --user bash ls -l /proc/self/ns cat /proc/self/uid_map touch s ls -l s exit ls -l s mount -n -o size=1m -t tmpfs tmpfs $(mktemp -d –tmpdir=/tmp) #fail ping google.com #fail # mount unshare -m --map-root-user --user bash cat /proc/self/mounts mount -n -o size=1m -t tmpfs tmpfs $(mktemp -d –tmpdir=/tmp) cat /proc/self/mounts|tail -1 # pid unshare --pid --fork --mount-proc --user –map-root-user ps aux # uts unshare --uts --user --map-root-user bash hostname mordor
• #20: control groups es un subsistema para Manejar los recursos, hacer accounting y seguimient (accounting and tracking). Maneja recursos tales como memoria, cpu, redes, dispositivos. En cuanto a contenedores limita lo que podes usar (a diferencia de namespaces que limita lo que podes ver). Interfaz en el filesystem, interfaces mas altas a traves de cgmanager o systemd es un arbol, arrancamos con un nodo, cada proceso esta atado a uno de estos nodos. Siempre estamos en un cgroup.
• #21: Cada pagina se cobra a un grupo, si la pagina se comparte se cobra a uno solo.
• #22: No hay limites, throttling y demas hacen que sea impreciso. knobs: poner peso a la migracion de procesos.
• #25: usado para process migration
• #26: sudo cgm create all valinor ls /sys/fs/cgroup sudo cgm chown all valinor $(id -u) $(id -g) cgm movepid all valinor $$ cgm setvalue freezer valinor freezer.state FROZEN
• #28: confinamiento a un contenedor.
• #29: confinamiento a un contenedor.
• #30: confinamiento a un contenedor.
• #31: sudo aa-status cat /var/lib/snapd/apparmor/profiles/snap.docker.dockerd cat /var/lib/snapd/apparmor/profiles/snap.vim.vim less /var/lib/snapd/seccomp/profiles/snap.docker.dockerd
• #32: openvz esta tambien desde mucho antes. systemd-nspawn es reciente.
• #33: openvz esta tambien desde mucho antes. systemd-nspawn es reciente.
• #45: sudo aa-status cat /var/lib/snapd/apparmor/profiles/snap.docker.dockerd cat /var/lib/snapd/apparmor/profiles/snap.vim.vim less /var/lib/snapd/seccomp/profiles/snap.docker.dockerd
• #47: openvz esta tambien desde mucho antes. systemd-nspawn es reciente.