Alexey
Ну дальше два варианта. Либо нужно идти в ветку runC но она closed. Может я не правильно понял причины. Но написано вот так:
cgroupv2 still doesn't support many of the cgroup controllers we need for runc. The most important one is the device "cgroup", which is a hard requirement for security. As far as I can see, CPU still hasn't been implemented either. Also, many of the other cgroups provide us with protections against other resource exhaustion attacks.
The major remaining issues are:
the lack of the support for the v2 device controller (CRITICAL): #2144 (PR: #2145)
the lack of runc ps: #2149
the lack of CI: #2124
I think maintainers should set cgroup2 labels so that people can easily find them.
Alexey
Либо просто ждать )
Alexey
Да следубщий от 2019
Alexey
По поводу критикал
Alexey
Второй вариант - идти в ветку подман. И или просить новый API
Alexey
Или идти в сторону запроса где доступна связка containerd - cri
Alexey
Но cri лежит в репах опеншифт. Хотя может я не прав.
Nikita
а подман точно работает? просто я вижу тут рядом и в подмане какие-то баги)
Sergei
а подман точно работает? просто я вижу тут рядом и в подмане какие-то баги)
С cgroupv2? Да, работает. И на Ф30 работал.
Alexey
Да работает. Но у него нет API Facade
Nikita
https://github. com/opencontainers/runc/issues/2163
Alexey
В нем просто не хватает функционала. А так он работает да
Alexey
Аааа
Alexey
Это вторая проблема
Alexey
Прицепиться к containerd не из под рута )))))
Alexey
Это мы еще не дошли до этого ) потому что IDE запускается с правами пользователя. А не суперпользователя. И если API Facade есть. И поставлены политики selinux. Пользователь в правильной группе - это работает
Nikita
вот что называется решил поднять пхп в контейнере...день прошёл не зря)
Alexey
хорошо. тогда куда смотреть? поправьте если не прав
Aleksandra
1) docker-ce в fedora нет не потому что редхат его удаляет, а потому что docker-ce под торговой маркой докера, и распространяется только с официального докерного репа
Aleksandra
2) у докера есть апстрим, называется moby, moby-engine в fedora опакечен, и доступен
Aleksandra
он провайдит бинарник docker
Aleksandra
3) в рантаймах и библиотеках поддержка cgroupsv2 уже реализована, отстает только сам докер
Aleksandra
баг в moby https://github.com/moby/moby/issues/16238
Aleksandra
как там починят, этот фикс дойдет и до moby-engine в fedora и до docker-ce от докера
Aleksandra
4) вопрос интеграции с IDE - это совсем другая отдельная тема, и там возможны разные архитектурные решения
Aleksandra
можно сузить плагин докера до локального и тогда подман подцепится автоматом, но по хорошему надо делать полноценную поддержку поскольку подман имеет кучу своих полезных фишечек, которые делают жизнь разработчика удобней, и делать всё через урезанный интерфейс докера - неправильно
Aleksandra
так что если заводить баг в IDE, имхо надо писать баг на поддержку podman, и там уже разрабочтки IDE пускай думают куда её впихнуть
Alexey
как там починят, этот фикс дойдет и до moby-engine в fedora и до docker-ce от докера
спасибо. увидел пулл реквест https://github.com/containerd/cgroups/pull/103
Alexey
с подман непонятно полностью. потому что podman все равно выглядит как завязка на cri , а cri не понятно доступен свободно или нет
Aleksandra
а подман точно работает? просто я вижу тут рядом и в подмане какие-то баги)
а ты запускаешь и не работает или ты просто гуляешь по гитхабу и чужие баги смотришь?
Alexey
тут конечно хотелось бы больше разных материалов для изучения
Aleksandra
ㅤ
Кстати, по поводу systemd-nspawn... При поптыке задать пароль рута:
passwd authentication token manipulation error systemd-nspawn
selinux контект пробовал сбрасывать на по умолчанию. Я заметил что даже в RHBZ был баг, но давно. У вас не случалось?
Alexey
непонятна роль podman . является ли это завязкой на cri в будущем. или он будет работать и на runc и на cri
Aleksandra
cri - это вообще интерфейс, стандарт на рантайм
Aleksandra
у него есть разные реализации
Aleksandra
podman - это утилита поверх рантайма
Sergei
Кстати, по поводу systemd-nspawn... При поптыке задать пароль рута:
passwd authentication token manipulation error systemd-nspawn
selinux контект пробовал сбрасывать на по умолчанию. Я заметил что даже в RHBZ был баг, но давно. У вас не случалось?
Было такое. Селинукс вообще не очень любит systemd-nspawn, у меня он (systemd-nspawn) в разрешительном режиме вообще работает (полагаю, что для непривилегированных контейнеров это достаточно безопасно).
ㅤ
Было такое. Селинукс вообще не очень любит systemd-nspawn, у меня он (systemd-nspawn) в разрешительном режиме вообще работает (полагаю, что для непривилегированных контейнеров это достаточно безопасно).
То бишь внутри самого контейнера нужно его перевести в такой режим?
Alexey
ну в федора мы же не можем выбрать cri-o как рантайм? потому что он будет лежать в других репах? или можем
Alexey
если не можем - то нам остается только runC
Sergei
То бишь внутри самого контейнера нужно его перевести в такой режим?
Э, нет, снаружи. Селинукс-то один, он же в ядре.
ㅤ
Э, нет, снаружи. Селинукс-то один, он же в ядре.
И тем не менее я находил пишут что внутри его тоже советовали отключить но там, да тоже пишут что это не поможет. Получается мне нужно считай выключить selinux чтобы пользоваться контейнером? Да это же шляпа.
Alexey
ладно , в любом случае @bookwar - спасибо за объяснения )
ㅤ
passwd fails with "Authentication token manipulation error" in newly created containers (2016 год)
https://bugzilla.redhat.com/show_bug.cgi?id=1374427
Sergei
И тем не менее я находил пишут что внутри его тоже советовали отключить но там, да тоже пишут что это не поможет. Получается мне нужно считай выключить selinux чтобы пользоваться контейнером? Да это же шляпа.
>выключить selinux
Не, ты что, не целиком же. semanage permissive -a systemd_machined_t переведёт в разрешительный режим только сам systemd-nspawn.
Aleksandra
если не можем - то нам остается только runC
cri-o и runc не противоречат друг другу, cri-o это обертка над runc
ㅤ
Нам бы точно небольшая статья в FAQ по systemd-nspawn не помешала бы.
Aleksandra
ладно , в любом случае @bookwar - спасибо за объяснения )
https://blog.openshift.com/crictl-vs-podman/
Alexey
cri-o и runc не противоречат друг другу, cri-o это обертка над runc
cri-o это получается как containerd
Aleksandra
cri-o - это демон который следит за контейнерами, а контейнеры запущены с помощью рантайма runc. Podman идет напрямую к контейнерам и запускает runc сам
Sergei
Нам бы точно небольшая статья в FAQ по systemd-nspawn не помешала бы.
Пожалуй. Мне вообще systemd-nspawn нравится, для stateful-контейнеров он куда проще в обращении, чем убунтоцентричный LXC.
ㅤ
Пожалуй. Мне вообще systemd-nspawn нравится, для stateful-контейнеров он куда проще в обращении, чем убунтоцентричный LXC.
Возможно как-то применить permissive только на конкретный контейнер? Чтобы mock остался нетронутым.
Sergei
Возможно как-то применить permissive только на конкретный контейнер? Чтобы mock остался нетронутым.
Не уверен, но вроде нет.
Alexey
так я запутался. если cri-o и podman поверх runc. и Docker и containerd поверх runc
Alexey
тогда какая разница?
Currently, the following features are not considered to be production-ready:
Support for cgroup v2
Alexey
это написано в runc
Sergei
Возможно как-то применить permissive только на конкретный контейнер? Чтобы mock остался нетронутым.
Ещё и freedesktop.org лежит - RTFM не сделать.
ㅤ
Ещё и freedesktop.org лежит - RTFM не сделать.
Не говори,я тоже как раз только что туда полез и не понял даже в чем дело сразу.
ㅤ
В доках Федоры нет или я плохо искал?
Aleksandra
тогда какая разница?
Currently, the following features are not considered to be production-ready:
Support for cgroup v2
production-ready по меркам kubernetes и облачных кластеров - это немножко не то же самое что десктопная система, разворачивать production-кластер на fedora 31 пока не стоит :)
ㅤ
https://fedoramagazine.org/container-technologies-fedora-systemd-nspawn/
Раздел: Working with SELinux
Sergei
https://fedoramagazine.org/container-technologies-fedora-systemd-nspawn/
Раздел: Working with SELinux
Жалко только, что он от нерута запускаться не умеет.
ㅤ
Ох, после применения тех изменений selinux что в статье теперь:
passwd: error while loading shared libraries: libuser.so.1: cannot open shared object file: Permission denied 🤷🏻♂️
Sergei
Ох, после применения тех изменений selinux что в статье теперь:
passwd: error while loading shared libraries: libuser.so.1: cannot open shared object file: Permission denied 🤷🏻♂️
Там, по-моему, неправильный контекст файлов приведён. Или просто устаревший, статья-то старая.
ㅤ
Вот точно нужна заметка нам в FAQ про это.
ㅤ
Кстати первый раз когда я его ставил так то нормально задавался пароль. В тоже место и тот же диск/раздел.
Alexander "SonnySlave"
ㅤ
Ждем еще одну искрометную шутку от Петросяна. Последнюю.
Late
Anatoly
Федора в чистом виде пустая. Ремиксом я часто пользовался с флешки. А установлен у меня на стационаре Дебиан, а на ноуте Калькулейт. Собирался 30-ку поставить на второй ноут. Придется поставить снова кальку. Надеюсь программисты поддерживающие кальку на винду не перейдут. ))))
Sergei
Прекратить писать мейкфайлы и использовать месон как нормальный человек.
😳
Vasiliy Glazov
Anonymous
12 ноября венда выйдет.