标签: docker

我目前正在努力限制我调用的用户的进程数sandbox。

我在里面配置了进程限制，/etc/security/limits.conf如下所示：

sandbox            hard    nproc            100

但是如果我想以sandbox用户身份连接到容器，ssh 会返回：

shell request failed on channel 0

所以我登录root并检查了sandbox用户正在运行的进程数，但它少于 5。

那么是什么阻止了我通过 ssh 登录？
没有为sandbox用户设置限制 ssh 登录工作正常。

或者有没有其他方法可以防止分叉炸弹攻击？

我正在尝试使用supervisord管理一个进程，但该进程没有在前台运行的选项：它总是守护进程。（那是 Zabbix 服务器）。

有没有办法用主管管理守护进程？有什么工具可以让它在前台运行？或者，以某种方式使用pidfile？

我已将jenkins用户添加到docker组中，认为它会允许 Jenkins 作业运行 Docker 命令。如果我切换到jenkins用户，我可以验证它是否有效（手动）：

ubuntu@hostname:~$ ps aux | grep java
jenkins   2210  9.5  7.5 1950316 292896 ?      Sl   00:01   1:00 /usr/bin/java -jar /data/jenkins/jenkins-1.586.war --httpPort=8080 -Xloggc:/var/log/jenkins/gc.log
ubuntu@hostname:~$ getent group docker
docker:x:999:jenkins
ubuntu@hostname:~$ ls -la /var/run/docker.*
-rw-r--r-- 1 root root   4 Oct 23 18:32 /var/run/docker.pid
srw-rw---- 1 root docker 0 Oct 23 18:32 /var/run/docker.sock
ubuntu@hostname:~$ sudo su -s /bin/bash jenkins
jenkins@hostname:/home/ubuntu$ docker ps
CONTAINER ID        IMAGE                      COMMAND                CREATED             STATUS              PORTS                     NAMES

但是，在 Jenkins 构建/作业期间，它没有权限：

# …

我有一个backup.service每小时调用一次backup.timer。不幸的是，在容器内运行的备份脚本可以成功完成，但警告返回非零退出代码。因此，尽管一切可能都有效，但容器会以非零退出代码停止。因此机组进入故障状态。

在这种情况下，计时器似乎不会再次启动该单元，尽管我在 systemd 文档中没有找到任何内容。

明确地说：对我来说，让容器以非零退出代码停止是完全可以的。但是我的计时器不起作用。

我现在可以将该脚本封装到另一个称为 als docker 入口点的脚本中。但我必须确保以某种方式保留输出 auf STDOUT 和 STDERR。

我也可以在单元失败后运行sudo systemctl reset-failed，但这对我来说似乎有点麻烦......（我试过了，在那种情况下计时器再次运行了单元。但它不能作为 ExecStopPost -服务文件中的任务）

有没有更好的方法来确保一个单位

• 尽管返回非零，但不会进入失败状态，或者
• 之后重置它的状态，或者
• 告诉计时器运行该单元，尽管它的状态是失败的？

我在 OSX 上使用 Docker 工具箱。

我创建了一个用于存储持久数据的数据卷容器：https : //docs.docker.com/userguide/dockervolumes/#creating-and-mounting-a-data-volume-container。

我检查过这些数据确实存储在 boot2docker VM（由 docker-machine 创建）而不是容器上，因此它会持续存在。然而，“docker-machine restart”清除了虚拟机上的这个自定义数据。

我找不到有关正在发生的事情的文档。我发现一个论坛帖子提到 /var/lib/docker 中的数据将被保留，但我找不到任何官方文档说明这一点，考虑到上面的持久存储指南没有使用这条路径，甚至没有提到这一点，这似乎也很奇怪您的数据将被删除。

这是预期的，如果是，是否有任何关于存储持久数据的正确路径的官方文档？

编辑：添加失败 senario 的示例

$ docker-machine ssh alt
docker@alt:~$ docker run -v /data:/var/lib/mysql --name mydata busybox sh -c "echo 'hello' > /var/lib/mysql/hello"
docker@alt:~$ docker run --rm --volumes-from mydata busybox sh -c "cat /var/lib/mysql/hello"
hello
docker@alt:~$ exit
$ docker-machine restart alt
Starting VM...
$ docker-machine ssh alt
docker@alt:~$ docker run --rm --volumes-from mydata busybox sh -c "cat /var/lib/mysql/hello"
cat: can't open '/var/lib/mysql/hello': …

如何防止我的预构建 docker 容器的用户能够访问该容器正在运行的实例中的 shell？我已经用谷歌搜索并阅读了与此场景相关的所有帖子，但没有找到可行的解决方案。我试图阻止访问容器中的给定资源，为了这个查询，假设它是配置文件中的序列号。我正在构建基于ubuntu的java:7图像图像图像。