在用户之间迁移非特权 LXC 容器

Question

我有一个 Ubuntu 14.04 服务器安装，它充当 LXC 主机。它有两个用户：user1 和 user2。

user1 拥有一个无特权的 LXC 容器，它使用一个目录（在 /home/user1/.local/... 内部）作为后备存储。

如何为 user2 制作容器的完整副本？我不能只复制文件，因为它们映射到 100000 到 100000+ 范围内的所有者，这些所有者绑定到 user1。

另外，我认为这基本上是相同的问题，我如何安全地备份我的 user1 的 LXC 容器，以便稍后在另一台机器和/或用户上恢复它？

Answer 1

我现在知道该怎么做了。如果您无法理解此解释，请回复，但也要确保您已阅读我在底部给出的读物中有关用户的内容

初步假设

我将坚持以下假设，这些假设是从你的问题中得到的延伸：

1. 主机有 auser1和 a user2，如果信息不特定于一个，我们将使用userX
2. 容器将由我们将渲染为的变量命名$container
3. user1和 的主文件夹user2将以 Bash 中称为~user1和 的表示法给出~user2。
4. 为了简洁起见，我们假设从属 UID 和 GID 范围为 100000..165536user1和 200000..265536user2
5. 的根 FS 文件夹$container将呈现为$rootfs，无论它最终位于何处 ( ~userX/.local/share/lxc/$container/rootfs)
6. 容器配置默认位于~userX/.local/share/lxc/$container/config

移动容器

有两个相关的数据来管理userns容器：

1. 组成文件夹的文件/文件夹的所有者和组$container
2. 在两个位置分配的从属 UID 和 GID：分别/etc/sub{uid,gid}用于用户帐户（通过 操作usermod --{add,del}-sub-{uid,gid}s）和配置lxc.id_map中$container（~userX/.local/share/lxc/$container/config）
   • 我不确定是否可以在容器配置中为每个容器定义不同的范围。例如，如果主机用户userX有 65536 个从属 GID 和 UID，则可能可以分配 5000 到 65 个不同的容器，但我尚未测试该假设。
   • 但可以肯定的是，此设置会与 LXC 进行通信，这是子命名空间中 GID 和 UID 的有效范围。

因此，要点实际上是您需要确保容器的文件/文件夹所有者和组与配置匹配，而配置又必须是分别分配给 和 的主机从属 GID/UID 的有效子user1集user2。

例如，如果您使用的是 Bash，则可以使用$((expression))for 算术表达式并将let算术表达式分配给变量。如果您知道“内部”用户的基值（分别为 100000 和 200000）和 GID/UID，这将非常有用。

要点是：

1. 这是可能的
2. 需要能力或超级用户权限CAP_CHOWN

这是一个可能需要更多磨练的脚本（例如：从根创建的容器迁移到非特权容器），但它对我来说适用于以下目的：

#!/usr/bin/env bash

function syntax
{
    echo "SYNTAX: ${0##*/} <from-user> <to-user> <container-name>"
    [[ -n "$1" ]] && echo -e "\nERROR: ${1}."
    exit 1
}

# Checks
[[ -n "$1" ]] || syntax "<from-user> is not set"
[[ -n "$2" ]] || syntax "<to-user> is not set"
[[ -n "$3" ]] || syntax "<container-name> is not set"
[[ "$UID" -eq "0" ]] || syntax "${0##*/}" "You must be superuser to make use of this script"
# Constants with stuff we need
readonly USERFROM=$1
readonly USERTO=$2
shift; shift
readonly CONTAINER=${1:-*}
LXCLOCAL=".local/share/lxc"
readonly HOMEFROM=$(eval echo ~$USERFROM)
readonly HOMETO=$(eval echo ~$USERTO)
readonly LXCFROM="$HOMEFROM/$LXCLOCAL"
readonly LXCTO="$HOMETO/$LXCLOCAL"
readonly GIDBASEFROM=$(awk -F : "\$1 ~/$USERFROM/ {print \$2}" /etc/subgid)
readonly UIDBASEFROM=$(awk -F : "\$1 ~/$USERFROM/ {print \$2}" /etc/subuid)
readonly GIDSIZEFROM=$(awk -F : "\$1 ~/$USERFROM/ {print \$3}" /etc/subgid)
readonly UIDSIZEFROM=$(awk -F : "\$1 ~/$USERFROM/ {print \$3}" /etc/subuid)
readonly GIDBASETO=$(awk -F : "\$1 ~/$USERTO/ {print \$2}" /etc/subgid)
readonly UIDBASETO=$(awk -F : "\$1 ~/$USERTO/ {print \$2}" /etc/subuid)
readonly GIDSIZETO=$(awk -F : "\$1 ~/$USERTO/ {print \$3}" /etc/subgid)
readonly UIDSIZETO=$(awk -F : "\$1 ~/$USERTO/ {print \$3}" /etc/subuid)
unset LXCLOCAL
# More checks
[[ -d "$LXCFROM" ]] || syntax "Could not locate '$LXCFROM'. It is not a directory as expected"
[[ -e "$LXCTO" ]] && syntax "Destination '$LXCTO' already exists. However, it must not"
for i in GIDBASEFROM UIDBASEFROM GIDBASETO UIDBASETO; do
    (($i > 0)) || syntax "Could not determine base/offset of subordinate UID/GID range"
done
for i in GIDSIZEFROM UIDSIZEFROM GIDSIZETO UIDSIZETO; do
    (($i > 0)) || syntax "Could not determine length of subordinate UID/GID range"
done

echo "Going to migrate container: $CONTAINER"
echo -e "\tfrom user $USERFROM ($HOMEFROM): subUID=${UIDBASEFROM}..$((UIDBASEFROM+UIDSIZEFROM)); subGID=${GIDBASEFROM}..$((GIDBASEFROM+GIDSIZEFROM))"
echo -e "\tto user $USERTO ($HOMETO): subUID=${UIDBASETO}..$((UIDBASETO+UIDSIZETO)); subGID=${GIDBASETO}..$((GIDBASETO+GIDSIZETO))"
while read -p "Do you want to continue? (y/N) "; do
    case ${REPLY:0:1} in
        y|Y)
            break;
            ;;
        *)
            echo "User asked to abort."
            exit 1
            ;;
    esac
done

# Find the UIDs and GIDs in use in the container
readonly SUBGIDSFROM=$(find -H "$LXCFROM" -printf '%G\n'|sort -u)
readonly SUBUIDSFROM=$(find -H "$LXCFROM" -printf '%U\n'|sort -u)

# Change group
for gid in $SUBGIDSFROM; do
    let GIDTO=$(id -g "$USERTO")
    if ((gid == $(id -g "$USERFROM"))); then
        echo "Changing group from $USERFROM ($gid) to $USERTO ($GIDTO)"
        find -H "$LXCFROM/$CONTAINER" -gid $gid -exec chgrp $GIDTO {} +
    elif ((gid >= GIDBASEFROM )) && ((gid <= GIDBASEFROM+GIDSIZEFROM)); then
        let GIDTO=$((gid-GIDBASEFROM+GIDBASETO))
        echo "Changing group $gid -> $GIDTO"
        find -H "$LXCFROM/$CONTAINER" -gid $gid -exec chgrp $GIDTO {} +
    else
        echo "ERROR: Some file/folder inside '$LXCFROM/$CONTAINER' has a group not assigned to $USERFROM (assigned subordinate GIDs)."
        echo -e "Use:\n\tfind -H '$LXCFROM/$CONTAINER' -gid $gid\nto list those files/folders."
        exit 1
    fi
done

# Change owner
for uid in $SUBUIDSFROM; do
    let UIDTO=$(id -u "$USERTO")
    if ((uid == $(id -u "$USERFROM"))); then
        echo "Changing owner from $USERFROM ($uid) to $USERTO ($UIDTO)"
        find -H "$LXCFROM/$CONTAINER" -uid $uid -exec chown $UIDTO {} +
    elif ((uid >= UIDBASEFROM )) && ((uid <= UIDBASEFROM+UIDSIZEFROM)); then
        let UIDTO=$((uid-UIDBASEFROM+UIDBASETO))
        echo "Changing owner $uid -> $UIDTO"
        find -H "$LXCFROM/$CONTAINER" -uid $uid -exec chown $UIDTO {} +
    else
        echo "ERROR: Some file/folder inside '$LXCFROM/$CONTAINER' has an owner not assigned to $USERFROM (assigned subordinate UIDs)."
        echo -e "Use:\n\tfind -H '$LXCFROM/$CONTAINER' -uid $uid\nto list those files/folders."
        exit 1
    fi
done
mv "$LXCFROM/$CONTAINER" "$LXCTO/" || { echo "ERROR: failed to move to destination: ${LXCTO}/${CONTAINER}."; exit 1; }

除了 StackExchange 网络的许可条款外，我还将其放入公共领域。因此，无论出于何种目的，都可以重复使用和修改，但它没有任何保证，我不对其使用或滥用承担责任。

用法

SYNTAX: lxc-reassign-userns.sh <from-user> <to-user> <container-name>

它假设find、sort、uniq、awk（mawk并且gawk应该可以工作）、id、bash、chown等chmod可用，并了解它正在使用的所有命令行开关。对于 Bashreadonly和let以及算术表达式，假设可以理解。For findis 假定+是该操作的有效终止符-exec。

该列表可能并不完整。

备份

是的，您可以在其他地方进行备份和恢复，只要您还相应地调整文件所有者和组即可。

但是，假设您使用类似的东西tar，有一个警告：tar将忽略套接字，因此$rootfs/dev/log会引起问题 - 其他人也可能会产生类似的问题。

资源：

• subuid(5)
• subgid(5)
• newuidmap(1)
• newgidmap(1)
• user_namespaces(7)