Или мож либвирт не там ищет шаблон для генерации профиля.
Я б для начала армор отключил к херам. Насколько я помню, в убунте оно как то криво и неочевидно отключается...
Stanley
Stanley
Но могу и забыть.
Stanley
Как бы ещё это всё двинуть в оф репу коллы, но это не то что бы сервис отдельный опенстака
А нафига? Хочется поипаться с занудами из коммунити? :)
Илья | 😶☮️🐸
А нафига? Хочется поипаться с занудами из коммунити? :)
ну сервис то всем полезен будет так или иначе. Текущих решений нормальных и простых нет. А по факту- всё очень просто
Илья | 😶☮️🐸
Либо что-то 10 летней давности, либо переусложненный монстр какой-то (pollinate)
Stanley
ну сервис то всем полезен будет так или иначе. Текущих решений нормальных и простых нет. А по факту- всё очень просто
ну тогда пиши докерфайл, рольку, катай, проверяй, потом пушь. Как пушить - я хз. Тут больше Тансур поможет, он умеет
Илья | 😶☮️🐸
тем более там как раз консул хотят завозить вместо кролика для общения сервисов, чем не фича
J
Я б для начала армор отключил к херам. Насколько я помню, в убунте оно как то криво и неочевидно отключается...
Его не надо целиком отключать.
Его можно выключить в qemu, если поставить в конфиге qemu:
security_driver = "none"
Но это не вот прям хорошее решение, лучше разобраться чо там происходит.
Stanley
Вот тут вообще загадочное. Консуль как бы вообще не кролик
Stanley
Его не надо целиком отключать.
Его можно выключить в qemu, если поставить в конфиге qemu:
security_driver = "none"
Но это не вот прям хорошее решение, лучше разобраться чо там происходит.
Я хз, я старый. Если селинух мешает - я его отключаю.
Stanley
Но в целом да, лучше конечно понять кто неправ
J
Artem
На других узлах VM стартанули без проблем
Artem
Без SR-IOV порта
Stanley
Накину тупое (не знаю, размышления). Судя по ИД профиля - его кто то генерит автоматтически. Может кто то этого не делает, хотя должен?
J
Накину тупое (не знаю, размышления). Судя по ИД профиля - его кто то генерит автоматтически. Может кто то этого не делает, хотя должен?
libvirt его генерит автоматически.
Надо для начала смотреть что есть в /etc/apparmor.d/libvirt/
И особенно что в файле /etc/apparmor.d/libvirt/TEMPLATE.qemu
Stanley
О, почти угадал. :) И да, при чем тут нейтрон, вообще...
icewolf
не причем, это гиперу поплохело.. херню какую то сделали и радуются
Artem
libvirt его генерит автоматически.
Надо для начала смотреть что есть в /etc/apparmor.d/libvirt/
И особенно что в файле /etc/apparmor.d/libvirt/TEMPLATE.qemu
# This profile is for the domain whose UUID matches this file.
#
#include <tunables/global>
profile LIBVIRT_TEMPLATE flags=(attach_disconnected) {
#include <abstractions/libvirt-qemu>
}
J
# This profile is for the domain whose UUID matches this file.
#
#include <tunables/global>
profile LIBVIRT_TEMPLATE flags=(attach_disconnected) {
#include <abstractions/libvirt-qemu>
}
На месте, стало быть.
Тогда следующая гипотеза что не хватает прав на что-то в итоговом apparmor профиле.
В dmesg сообщений от apparmor нету?)
Stanley
На месте, стало быть.
Тогда следующая гипотеза что не хватает прав на что-то в итоговом apparmor профиле.
В dmesg сообщений от apparmor нету?)
Погоди. Оно же пишет что профиль не найден, а не то что он негодный
Stanley
Все еще ставлю на то, что при срвио портах профиль не генерицца
Stanley
пачимута
J
Погоди. Оно же пишет что профиль не найден, а не то что он негодный
Он не пишет что не найден)
Он пишет что не может его загрузить, эт разное.
В случае если чо-то не так с профилем ошибка той же будет, по идее.
Stanley
Ну штош. Подождем пока коллегий отдебажит и доложит социуму. :)
J
Все еще ставлю на то, что при срвио портах профиль не генерицца
Должен бы.
Для sr-iov надо побольше прав чем есть в стандартных абстракциях.
Там, скорее всего, права на чтение из sysfs структур нужны.
Stanley
Это чтото на сложном.
Stanley
Но я думал что либвирт и так под рутом катит
J
https://github.com/libvirt/libvirt/blob/d3fedca80763eeb99f71954da80087510953d3ff/src/security/security_apparmor.c#L155
icewolf
стоп, а какая версия там убунты
icewolf
20.04?
icewolf
если там не колла ансиболь и грубо говоря натянули как сервисы то могут быть варианты.
J
Я б предложил включить дебаг вывод в llibvirt для начала и посмотреть чо он там в лог напишет.
icewolf
Я б предложил включить дебаг вывод в llibvirt для начала и посмотреть чо он там в лог напишет.
ну я как бы тоже думаю надо такое сделать, чудес то не бывает, если на одних хостах работает, а тут на одном вылезло такое, то тут могут бывать варианты с версией qemu-libvirt
Artem
J
ну я как бы тоже думаю надо такое сделать, чудес то не бывает, если на одних хостах работает, а тут на одном вылезло такое, то тут могут бывать варианты с версией qemu-libvirt
На других работает потому что там виртуалки без sr-iov портов.
icewolf
ща гляну в своих записках сумасшедшего
icewolf
нус. Версия libvirt 7.6?
icewolf
на 20.04 downgrade до 7.5
icewolf
Яж помню нечто подобное было
icewolf
На других работает потому что там виртуалки без sr-iov портов.
там не только это, там еще vmки с uefi могут не работать и ровно такая же ошибка будет
icewolf
в общем на данной компьюте врубите дебаг и киньте в пастбине сюда. Я по-моему понимаю где отрывается AppArmor Profile, и тут или патчить или поднимать версию оси и ядра(убунту это явно не дебиан и не rockyLinux)
J
там не только это, там еще vmки с uefi могут не работать и ровно такая же ошибка будет
Я нашел уже что дефолтные apparmor абстракции могут не разрешать читать из /usr/share/qemu)
Может и так, но это было б слишком просто.
icewolf
Я нашел уже что дефолтные apparmor абстракции могут не разрешать читать из /usr/share/qemu)
Может и так, но это было б слишком просто.
да да, но там еще есть патчи которые дотягивали. Ну то есть по сути взрыв на макоронной фабрике по факту без них гарантирован.
icewolf
я отчасти из-за этого не юзаю убунту. Ну то есть не возможно в рамках релиза двинуть кернел вверх например.
J
да да, но там еще есть патчи которые дотягивали. Ну то есть по сути взрыв на макоронной фабрике по факту без них гарантирован.
Из-за того что мейнтейнеры пакетов, которые не имеют отношения к самой убунте, не осиливают иногда правильно положить ovmf или написать apparmor профиль?)
icewolf
icewolf
что характерно, болезни детские почему то у убунтят.
Stanley
что характерно, болезни детские почему то у убунтят.
Теперь еще и в стримах центоси. Расслабились больно.
icewolf
просто у redhat и у убунту свое понимание kernel, последние почему то отличаются даже от debian
J
просто у redhat и у убунту свое понимание kernel, последние почему то отличаются даже от debian
Потому что туда оперативно включаются всякие секьюрити патчи и нужные жырным клиентам опции компиляции.
J
по мне так всё дерьмо, просто кто к чему привык.
icewolf
стабильность против оптимизации
J
Каждую неделю читать сил нет)
Stanley
просто у redhat и у убунту свое понимание kernel, последние почему то отличаются даже от debian
как раз сегодня обсуждали с пацанами. Я стоял горой за то, что Линух Фондейшен все же деклаирует основные вызовы ядра, которые должны быть во всех дистрах. Меня убеждали в ином
icewolf
или форкать свой debian если есть силы
icewolf
как раз сегодня обсуждали с пацанами. Я стоял горой за то, что Линух Фондейшен все же деклаирует основные вызовы ядра, которые должны быть во всех дистрах. Меня убеждали в ином
Вот вот! Яжеговорил! Вот ровно когда ребятишки оптимизаторы научатся писать свои скрипты без окостылтывания ровно в этом момент до них дойдет что секс с вызовами к ядру от релиза к релизу не нужен
icewolf
это ровно во всем, одни без лубриканта в жопе делают кролик как могли, другие используют стабильные билды того же кролика и правильную оптимизацию и в финале их ActiveMQ работает нормально
Nikolay
Убунта великолепна, после астры
J
Слыхали, кстати, ученые чот там доказали что если всё время ныть и ворчать, то развиваются нейронные связи соответсвующие именно навыкам качественного нытья и ворчания.
А связи соотвествующие полезным навыкам не развиваются)
NS 🇷🇺
Британские либо?
icewolf
Ты мсвс 3.0 не видел. После неё астра верх совершенства.
А вот на МСВС грешить, не надо там все чинно благородно redhatоподобно
Rus
А вот на МСВС грешить, не надо там все чинно благородно redhatоподобно
Ага, шляпа там рядом валялась, в трех метрах, в момент пьяного зачатия... В нее чинарики бросали...
icewolf
Ага, шляпа там рядом валялась, в трех метрах, в момент пьяного зачатия... В нее чинарики бросали...
Ну тем не менее оно превратилось в гослинукс
icewolf
потом правда в редос
icewolf
скрепное и падающее при определенном сочетании триггеров в кернел паник
icewolf
Имею подозрение, что 3.0 ты не видел в глаза
честно? Видел, от данной травмы моя неокрепшая психика покинула чат раз 7, выходя в окно.. но подтяжки ее спасли. Я даже знаю в каком устройстве сия операционная система до сих пор работает
icewolf
после debian да конечно больновато было с этим МСВС, но за неимением выбора как говорится.
Stanley
Слыхали, кстати, ученые чот там доказали что если всё время ныть и ворчать, то развиваются нейронные связи соответсвующие именно навыкам качественного нытья и ворчания.
А связи соотвествующие полезным навыкам не развиваются)
Да, читал. Сия порча снимается только мастурбацией. Выравнивает нейронные связи.