подключись к контейнеру и скопируй дефолтные конфиги

Вот, об этом я и говорю. Неужели нет иного способа?

Именно это и происходит. Это поведение изменить нельзя?

Понял. Эх, жаль, что так неудобно. Как думаете есть смысл писать в issue трекер на гитхабе?

а зачем менять поведение?

найди смысл в этом

а зачем менять поведение?

Не удобно

Только в случае если удобство нарушает безопасность :)

Не удобно

ну тогда пользуйся другим инструментом

просто ради «неудобно» никто ничего менять не будет

объясни задачу - и тебе дадут 1000 способов как ее решить правильно в рамках модели контейнеров

Просто считаю нелепо, что мне нужно с хоста подсунуть конфиги для службы заранее. А если дефолтный конфиг можно получить только при установки службы?

Просто считаю нелепо, что мне нужно с хоста подсунуть конфиги для службы заранее. А если дефолтный конфиг можно получить только при установки службы?

сделай интерактивное меню с заполнением данных

объясни задачу - и тебе дадут 1000 способов как ее решить правильно в рамках модели контейнеров

А я задачу объяснил. Нуэно получить из контейнера файлы, которые создались после сборки образа.

ну сделай sh скрипт

ну сделай sh скрипт

Ну костыли же... Хотя придется делать так, если иного способа нет. Я затем и обратился, что не понимал насколько это нормальное поведение.

Странно, что до меня никто в этом не нуждался...

ты путаешь понятия инструмент/задача/решение

не вижу смысла объяснять короч

не вижу смысла объяснять короч

С этого стоило начинать.

Спасибо Константин

Спасибо

Господа, день добрый. Собсно, вопрос такого содержания, ежели никого сильно не перегружу: Есть у нас регистри с которого я спулил месяца три назад имеджи проектов и удачно про него запамятовал. Но сегодня случилось так, что пришлось делать pull, в ответ на который я получил хамское Error response from daemon и x509: certificate has expired or is not yet valid Подскажите, как наказать демона?

Господа, день добрый. Собсно, вопрос такого содержания, ежели никого сильно не перегружу: Есть у нас регистри с которого я спулил месяца три назад имеджи проектов и удачно про него запамятовал. Но сегодня случилось так, что пришлось делать pull, в ответ на который я получил хамское Error response from daemon и x509: certificate has expired or is not yet valid Подскажите, как наказать демона?

https://docs.docker.com/registry/insecure/#deploying-a-plain-http-registry

мерси, почитаю

дело было не в бабине

Странно, что до меня никто в этом не нуждался...

Ребята из https://www.linuxserver.io/ давно такое делают. Они просто закидывают конфиги в папки после запуска контейнера.

Если не трудно, намекните, как можно сохранить файл в директорию хоста без -v

Никак, либо поднимать в контейнере ssh/ftp и через них копировать

Спасибо, я неправильно задачу понял.

Если не трудно, намекните, как можно сохранить файл в директорию хоста без -v

Если сохранить это скопировать из контейнера тогда docker cp

Монтирование нужно было, но из dockerfile, а не через -v

Из докерфайл это скорее не монтирование, а добавление в образ

В докерфайле можно объявить volume

Тогда такой volume будет создан на хосте "безымянным" при запуске

Удобство извлечения из него файлов под вопросом, но если очень хочется без -v и cp, то вполне зайдёт

Привет, а кто-нибудь знает где логи docker daemon посмотреть на маке? в ~/Library/Containers/com.docker.docker/Data/com.docker.driver.amd64-linux/log почему-то пусто

Привет, а кто-нибудь знает где логи docker daemon посмотреть на маке? в ~/Library/Containers/com.docker.docker/Data/com.docker.driver.amd64-linux/log почему-то пусто

В виртуалке же, нет?

Первая дира смаппена в папку на маке вторая просто папка в контейнере третяя volume полны Пизд cd /root/ root@63a965cb9023:~# dd if=/dev/zero of=test.dat bs=1024 count=100000 102400000 bytes (102 MB) copied, 29.5125 s, 3.5 MB/s root@63a965cb9023:/tmp# dd if=/dev/zero of=test.dat bs=1024 count=100000 102400000 bytes (102 MB) copied, 0.195802 s, 523 MB/s root@63a965cb9023:/var/www/html# dd if=/dev/zero of=test.dat bs=1024 count=100000 102400000 bytes (102 MB) copied, 0.504954 s, 203 MB/s

да, я уже начал использовать docker-sync для кода, мапить mysql/data тоже было ошибкой, думаю перенесу на volume

В виртуалке же, нет?

о точно, если кому ещё понадобится screen ~/Library/Containers/com.docker.docker/Data/com.docker.driver.amd64-linux/tty

и там /var/log/{docker,daemon}.log

Прикольно :)

Есть вот такой способ создать named volume

docker volume create --name xdebug-data docker run --rm -v xdebug-data:/volume busybox chown -R 33:33 /volume

как это прописать в docker-compose.yml ?

да я объявил, только внутри volume не было изменений после command:

да я объявил, только внутри volume не было изменений после command:

Странно, что до меня никто в этом не нуждался...

Ты не один. Сейчас именно с этим столкнулся, хотел получить доступ к конфигу nginx снаружи контейнера для оперативной правки. Так и не вышло.

Друзья, кто верхнеуровнево опишет как реализовать такую схему. Есть IP, подключаешься к http://[ip]/ получаешь инфу с веб сервера1, по адресу http://[ip]/foo идет обращение на веб сервер2, по порту [ip]:5432 идёт доступ по ssh на сервере3. Примерно такая схема но количество серверов десятки. Как реализовать, куда копать? Интересует в 1 очередь архитектура решения. Есть требование к безопасности, чтобы изнутри каждого сервиса не было доступа наружу (отсюда есть смысл заморочиться с докером)

Я так понимаю тут парадигменное противоречие но вот в чем оно пока не догоняю

Запуская nginx в дефолтной конфигурации, работает. Далее хочу долго и упорно править конфиг, так как nginx не настолько круто знаю, чтобы с первого раза написать проксирование для десятка сервисов. Хочу примонтировать папку /etc/nginx к хосту. Получаю пустую папку в контейнере.

Посоны, я новый логотип принес

мочи

запредельное количество страдания в одной картинке

Спасибо, буду практиковаться.

Господа .env автоматом в сервисы подбрасываеться?

Странно, но порты, открытые только в докер контейнере (по отношению к докер-сети), которые отображаются netstat'ом: tcp6 0 0 :::22 :::* LISTEN 542/sshd tcp6 0 0 :::5432 :::* LISTEN 20633/docker-proxy tcp6 0 0 ::1:25 :::* LISTEN 1716/exim4 тоже открыты во внешнюю сеть. Это нормальное поведение докера?

Но вопрос мой не в этом. Я хочу их закрыть и хорошим решением считаю такую штуку: iptables -I DOCKER -i $external_if -j DROP Но, например, после рестарта докера (а ещё не понятно, как будет при просто пересборке контейнера) это правило пропадает. Куда его можно записать, чтобы при рестарте докера или при пересборке контейнера, оно снова появлялось? Какой-то рестарт хук?

может это спасет: https://docs.docker.com/engine/reference/builder/#entrypoint

может это спасет: https://docs.docker.com/engine/reference/builder/#entrypoint

Речь о хост-системе, а не о контейнерах.

приношу извинения, не сообразил.

Отвечу сам себе, может пригодится кому-нибудь. Можно не трогать докеровские правила iptables, а создать свою цепочку в таблице mangle, в которую отправлять все пакеты с внешнего интерфейса. Назначить ей политику DROP по умолчанию и разрешить только то, что надо.

Ну это руками придётся настраивать постоянно при рестарте контейнера.

Ребят всем привет. Не понимаю что не так. Создаю docker service create -e NAME="myname" -e BUCKET="s3bucket" -e ... image поднимается сервис. внутрь захожу, вижу что env подцепил. но скрипт который внутри почему то не хавает NAME переменную. все остальные правильно вставляет, а ее нет. менял на другие значения key=value, все равно не хочет. есть идеи?

нашел в баше ошибку

Я имел в виду, что я не делал -p 80:80 и порт доступен только из соседнего контейнера, который в этой же сети (docker-compose'ом собирал)

Я к примеру. Это только часть netstat. Там есть и :::80.

Правильно ли то, что этот порт доступен из интернета?

В том и дело, что это не —host. Докер-композ создаёт свою сеть. В ней располагает контейнеры, которые видят порты друг друга.

И эти порты видят все в интернете)

Да.

Что-то я заработался похоже. Порты же открыты на 0.0.0.0 через -p. Сорян. Так и должно быть).

Да. Я рассматривал этот вариант. Контейнеров слишком много, чтобы каждый править. Проще на уровне хост-системы в iptables было разрешить только то, что нужно.

А кто как борется с докером на маке?

Сегодня обнаружил, что после очистки контейнеров какой-то файл занимает 67G

67G, Карл!

Образы? Вольюмы?

Все удалил