为镜像添加SSH服务

操作Docker容器介绍了一些进入容器的办法,比如attach、exec等命令,但是这些命令都无法解决远程管理容器的问题。因此,当需要远程登录到容器内进行一些操作的时候,就需要SSH的支持了。

如何自行创建一个带有SSH服务的镜像,并详细介绍了两种创建容器的方法:基于docker commit命令创建和基于Dockerfile创建。

基于commit命令创建

Docker提供了docker commit命令,支持用户提交自己对制定容器的修改,并生成新的镜像。

命令格式为docker commit CONTAINER [REPOSITORY[:TAG]]。

这里以ubuntu:14.04镜像添加SSH服务的操作流程为例。

1.准备工作

首先,使用ubuntu:14.04镜像来创建一个容器:

$ docker run -it ubuntu:14.04  /bin/bash

更新apt缓存,并安装openssh-server:

root@fc1936ea8ceb:/# apt-get update; apt-get install openssh-server -y

2.安装和配置SSH服务

选择主流的openssh-server作为服务端:

root@fc1936ea8ceb:/# apt-get install openssh-server –y

如果需要正常启动SSH服务,则目录/var/run/sshd必须存在,手动创建它,并启动SSH服务:

root@fc1936ea8ceb:/# mkdir -p /var/run/sshd

root@fc1936ea8ceb:/# /usr/sbin/sshd -D & [1] 3254

此时查看容器的22端口(SSH服务默认监听的端口),可见此端口已经处于监听状态:

root@fc1936ea8ceb:/# netstat -tunlp

Active Internet connections (only servers)

Proto Recv-Q Send-Q Local Address   Foreign Address   State    PID/Program name

tcp        0      0 0.0.0.0:22      0.0.0.0:*         LISTEN   -

tcp6       0      0 :::22           :::*              LISTEN   -

修改SSH服务的安全登录配置,取消pam登录限制:

root@fc1936ea8ceb:/# sed -ri 's/session    required     pam_loginuid.so/#session required     pam_loginuid.so/g' /etc/pam.d/sshd

在root用户目录下创建.ssh目录,并复制需要登录的公钥信息(一般为本地主机用户目录下的.ssh/id_rsa.pub文件,可由ssh-keygen-t rsa命令生成)到authorized_keys文件中:

root@fc1936ea8ceb:/# mkdir root/.ssh

root@fc1936ea8ceb:/# vi /root/.ssh/authorized_keys

创建自动启动SSH服务的可执行文件run.sh,并添加可执行权限:

root@fc1936ea8ceb:/# vi /run.sh

root@fc1936ea8ceb:/# chmod +x run.sh

其中,run.sh脚本内容如下:

#!/bin/bash
/usr/sbin/sshd -D

最后,退出容器:

root@fc1936ea8ceb:/# exit

exit

3.保存镜像

将所退出的容器用docker commit命令保存为一个新的sshd:ubuntu镜像:

$ docker commit  fc1 sshd:ubuntu

7aef2cd95fd0c712f022bcff6a4ddefccf20fd693da2b24b04ee1cd3ed3eb6fc

使用docker images查看本地生成的新镜像sshd:ubuntu,目前拥有的镜像如下:

$ docker  images

REPOSITORY      TAG       IMAGE ID        CREATED             VIRTUAL SIZE

sshd            ubuntu    7aef2cd95fd0    10 seconds ago      255.2 MB

busybox         latest    e72ac664f4f0    3 weeks ago         2.433 MB

ubuntu          latest    ba5877dc9bec    3 months ago        192.7 MB

4.使用镜像

启动容器,并添加端口映射10022-->22。其中10022是宿主主机的端口,22是容器的SSH服务监听端口:

$ docker  run -p 10022:22  -d sshd:ubuntu /run.sh

3ad7182aa47f9ce670d933f943fdec946ab69742393ab2116bace72db82b4895

启动成功后,可以在宿主主机上看到容器运行的详细信息:

$ docker ps

CONTAINER ID   IMAGE            COMMAND   CREATED      STATUS           PORTS                           NAMES

3ad7182aa47f   sshd:ubuntu    "/run.sh"   2 seconds ago   Up 2 seconds  0.0.0.0:10022->22/tcp   focused_ptolemy

在宿主主机(192.168.1.200)或其他主机上上,可以通过SSH访问10022端口来登录容器:

$ ssh 192.168.1.200 -p 10022

root@3ad7182aa47f:~#

使用Dockerfile创建

使用Dockerfile来创建一个支持SSH服务的镜像。

1.创建工作目录

首先,创建一个sshd_ubuntu工作目录:

$ mkdir sshd_ubuntu

在其中,创建Dockerfile和run.sh文件:

$ cd sshd_ubuntu/

$ touch Dockerfile run.sh

2.编写run.sh脚本和authorized_keys文件

脚本文件run.sh的内容:

#!/bin/bash
/usr/sbin/sshd -D

在宿主主机上生成SSH密钥对,并创建authorized_keys文件:

$ ssh-keygen -t rsa

$ cat ~/.ssh/id_rsa.pub > authorized_keys

3.编写Dockerfile

下面是Dockerfile的内容及各部分的注释,可以对比上一节中利用docker commit命令创建镜像过程,所进行的操作基本一致:

#设置继承镜像
FROM ubuntu:14.04
#提供一些作者的信息
MAINTAINER docker_user (user@docker.com)
#下面开始运行更新命令
RUN apt-get update
#安装ssh服务
RUN apt-get install -y openssh-server
RUN mkdir -p /var/run/sshd
RUN mkdir -p /root/.ssh
#取消pam限制
RUN sed -ri 's/session required pam_loginuid.so/#session required pam_loginuid.so/g' /etc/pam.d/sshd
#复制配置文件到相应位置,并赋予脚本可执行权限
ADD authorized_keys /root/.ssh/authorized_keys
ADD run.sh /run.sh
RUN chmod /run.sh
#开放端口
EXPOSE
#设置自启动命令
CMD ["/run.sh"]

4.创建镜像

在sshd_ubuntu目录下,使用docker build命令来创建镜像。这里需要注意最后还有一个“.”,表示使用当前目录中的Dockerfile:

$ cd sshd_ubuntu

$ docker build -t sshd:Dockerfile .

使用Dockerfile创建自定义镜像,需要注意的是Docker会自动删除中间临时创建的层,还需要注意每一步的操作和编写的Dockerfile中命令的对应关系。

命令执行完毕后,如果见“Successfully built XXX”字样,则说明镜像创建成功。可以看到,以上命令生成的镜像ID是570c26a9de68。

在本地查看sshd:Dockerfile镜像已存在:

$ docker images

REPOSITORY      TAG             IMAGE ID         CREATED           VIRTUAL SIZE

sshd            Dockerfile      570c26a9de68     4 minutes ago     246.5 MB

ubuntu          14.04           ba5877dc9bec     3 months ago      192.7 MB

5.测试镜像,运行容器

使用刚才创建的sshd:Dockerfile镜像来运行一个容器。

直接启动镜像,映射容器的22端口到本地的10122端口:

$ docker run -d -p 10122:22 sshd:Dockerfile

890c04ff8d769b604386ba4475253ae8c21fc92d60083759afa77573bf4e8af1

$ docker ps

在宿主主机新打开一个终端,连接到新建的容器:

$ ssh 192.168.1.200 -p 10122

root@890c04ff8d76:~#

效果与上一小节一致,镜像创建成功。

小结

在Docker社区中,对于是否需要为Docker容器启用SSH服务一直有争论。

反对方的观点是:Docker的理念是一个容器只运行一个服务。因此,如果每个容器都运行一个额外的SSH服务,就违背了这个理念。另外认为根本没有从远程主机进入容器进行维护的必要。

支持方的观点是:在Docker 1.3版本之前,如果要用attach进入容器,经常容易出现卡死的情况。1.3之后,虽然官方推出了docker exec命令,再从宿主主机进入是没有障碍了,但是如果要从其他远程主机进入容器依然没有更好的解决方案。

这两种说法各有道理,其实是在讨论不同的容器场景:即作为应用容器还是作为系统容器。应用容器行为围绕应用生命周期,较为简单,不需要人工的额外干预;而系统容器则需要支持管理员的登录操作,这个时候,对SSH服务的支持就变得十分必要了。

因此,在Docker推出更加高效、安全的方式对系统容器进行远程操作之前,容器的SSH服务还是比较重要的,而且它对资源的需求不高,同时安全性可以保障。

上一篇:[译]Stairway to Integration Services Level 10 - 高级事件活动


下一篇:HDU 4012 Paint on a Wall(状压+bfs)