如何从Docker容器控制主机?
例如,如何执行复制到主机的bash脚本?
如何从Docker容器控制主机?
例如,如何执行复制到主机的bash脚本?
Answers:
这真的取决于您需要该bash脚本执行的操作!
例如,如果bash脚本仅回显一些输出,则可以执行
docker run --rm -v $(pwd)/mybashscript.sh:/mybashscript.sh ubuntu bash /mybashscript.sh
另一种可能性是您希望bash脚本安装某些软件-例如说该脚本安装docker-compose。你可以做类似的事情
docker run --rm -v /usr/bin:/usr/bin --privileged -v $(pwd)/mybashscript.sh:/mybashscript.sh ubuntu bash /mybashscript.sh
但是到了这一点,您真的必须深入了解脚本在做什么,以允许容器从容器内部对其主机授予特定权限。
docker run --rm -v $(pwd)/mybashscript.sh:/work/mybashscript.sh ubuntu /work/mybashscript.sh
/usr/bin
给容器。无论哪种情况,容器都不能完全访问主机系统。也许我错了,但这似乎是对一个错误问题的错误回答。
我使用的解决方案是通过连接到主机SSH
并执行以下命令:
ssh -l ${USERNAME} ${HOSTNAME} "${SCRIPT}"
由于这个答案一直在投票,所以我想提醒(强烈建议),用于调用脚本的帐户应该是完全没有权限的帐户,而只能执行该脚本sudo
(从sudoers
文件完成)。
ssh
找不到。你有什么其他的建议?
apt update && apt install openssh-client
。
使用了命名管道。在主机操作系统上,创建一个脚本来循环和读取命令,然后在该脚本上调用eval。
让docker容器读取到该命名管道。
为了能够访问管道,您需要通过一个卷来安装它。
这类似于SSH机制(或类似的基于套接字的方法),但将您适当地限制在主机设备上,这可能更好。另外,您不必传递身份验证信息。
我唯一的警告是要谨慎选择为什么这么做。如果您想创建一种通过用户输入或其他方式进行自我升级的方法,那完全是要做的事情,但是您可能不想调用命令来获取一些配置数据,因为正确的方法是将其作为args传入/ volume到docker中。也要对您正在回避的事实保持谨慎,因此只需考虑许可模型。
其他一些答案(例如在卷下运行脚本)通常无法正常工作,因为它们无法访问全部系统资源,但根据您的使用情况,它可能更合适。
如果您不担心安全性,而只是想从另一个Docker容器(例如OP)中在主机上启动Docker容器,则可以通过共享docker监听端口与Docker容器共享在主机上运行的docker服务器。
请参阅https://docs.docker.com/engine/security/security/#docker-daemon-attack-surface,并查看您的个人风险承受能力是否允许此特定应用程序使用。
您可以通过在启动命令中添加以下卷args来完成此操作
docker run -v /var/run/docker.sock:/var/run/docker.sock ...
或在docker组成文件中共享/var/run/docker.sock,如下所示:
version: '3'
services:
ci:
command: ...
image: ...
volumes
- /var/run/docker.sock:/var/run/docker.sock
当您在docker容器中运行docker start命令时,在主机上运行的docker服务器将看到请求并配置同级容器。
信用:http : //jpetazzo.github.io/2015/09/03/do-not-use-docker-in-docker-for-ci/
/usr/bin/docker:/usr/bin/docker
)。
这个答案只是Bradford Medeiros解决方案的更详细的版本,对我来说,这也是最好的答案,因此功劳归于他。
他在回答中解释了要做什么(命名管道),但没有确切说明如何做。
我不得不承认,在我阅读他的解决方案时,我不知道什么叫管道。因此,我很难实现它(尽管它实际上非常简单),但是我确实成功了,所以很高兴为您解释我是如何做到的。因此,我的答案仅是详细说明您需要运行以使其正常运行的命令,但同样,功劳归功于他。
在主主机上,选择要放置命名管道文件(例如)/path/to/pipe/
和管道名称(例如)的文件夹mypipe
,然后运行:
mkfifo /path/to/pipe/mypipe
管道已创建。类型
ls -l /path/to/pipe/mypipe
并检查访问权限以“ p”开头,例如
prw-r--r-- 1 root root 0 mypipe
现在运行:
tail -f /path/to/pipe/mypipe
终端现在正在等待将数据发送到此管道中
现在打开另一个终端窗口。
然后运行:
echo "hello world" > /path/to/pipe/mypipe
检查第一个终端(带有的终端tail -f
),它应该显示“ hello world”
在主机容器上,而不是运行tail -f
仅输出作为输入发送的任何内容的容器,而是运行以下将其作为命令执行的命令:
eval "$(cat /path/to/pipe/mypipe)"
然后,从另一个终端尝试运行:
echo "ls -l" > /path/to/pipe/mypipe
返回第一个终端,您应该看到ls -l
命令的结果。
您可能已经注意到,在上一部分中,在ls -l
显示输出之后,它立即停止侦听命令。
代替eval "$(cat /path/to/pipe/mypipe)"
,运行:
while true; do eval "$(cat /path/to/pipe/mypipe)"; done
(你不能这样)
现在,您可以无限发送一个命令,另一个命令将被执行,而不仅仅是第一个。
唯一的警告是,如果主机必须重新启动,则“ while”循环将停止工作。
要处理重启,请按以下步骤操作:
将放入带有标头while true; do eval "$(cat /path/to/pipe/mypipe)"; done
的文件中execpipe.sh
#!/bin/bash
别忘chmod +x
了
通过运行将其添加到crontab
crontab -e
然后添加
@reboot /path/to/execpipe.sh
在这一点上,进行测试:重新启动服务器,然后在备份服务器时,将某些命令回显到管道中并检查它们是否已执行。当然,您看不到命令的输出,因此ls -l
不会有帮助,但touch somefile
会有所帮助。
另一种选择是修改脚本以将输出放入文件中,例如:
while true; do eval "$(cat /path/to/pipe/mypipe)" &> /somepath/output.txt; done
现在您可以运行ls -l
,输出(&>
在bash中使用stdout和stderr )应该在output.txt中。
如果像我一样同时使用docker compose和dockerfile,那么我要做的是:
假设您要挂载/hostpipe
容器中的mypipe的父文件夹
添加:
VOLUME /hostpipe
在您的dockerfile中以创建挂载点
然后添加:
volumes:
- /path/to/pipe:/hostpipe
在您的docker compose文件中以便将/ path / to / pipe挂载为/ hostpipe
重新启动您的Docker容器。
执行到您的Docker容器中:
docker exec -it <container> bash
进入安装文件夹并检查是否可以看到管道:
cd /hostpipe && ls -l
现在尝试从容器中运行命令:
echo "touch this_file_was_created_on_main_host_from_a_container.txt" > /hostpipe/mypipe
它应该工作!
警告:如果您有OSX(Mac OS)主机和Linux容器,它将无法正常工作(在此处进行解释https://stackoverflow.com/a/43474708/10018801并在此处发出https://github.com/docker / for-mac / issues / 483),因为管道的实现方式不同,因此您只能从Linux读取从Linux写入管道的内容,而从Mac OS写入管道的内容则只能由Mac OS(此句子可能不太准确,但请注意存在跨平台问题)。
例如,当我从Mac OS计算机在DEV中运行docker设置时,上述命名管道不起作用。但是在过渡和生产中,我拥有Linux主机和Linux容器,并且运行良好。
这是我从节点js容器向主主机发送命令并检索输出的方式:
const pipePath = "/hostpipe/mypipe"
const outputPath = "/hostpipe/output.txt"
const commandToRun = "pwd && ls-l"
console.log("delete previous output")
if (fs.existsSync(outputPath)) fs.unlinkSync(outputPath)
console.log("writing to pipe...")
const wstream = fs.createWriteStream(pipePath)
wstream.write(commandToRun)
wstream.close()
console.log("waiting for output.txt...") //there are better ways to do that than setInterval
let timeout = 10000 //stop waiting after 10 seconds (something might be wrong)
const timeoutStart = Date.now()
const myLoop = setInterval(function () {
if (Date.now() - timeoutStart > timeout) {
clearInterval(myLoop);
console.log("timed out")
} else {
//if output.txt exists, read it
if (fs.existsSync(outputPath)) {
clearInterval(myLoop);
const data = fs.readFileSync(outputPath).toString()
if (fs.existsSync(outputPath)) fs.unlinkSync(outputPath) //delete the output file
console.log(data) //log the output of the command
}
}
}, 300);
编写一个侦听端口(例如8080)的简单服务器python服务器,将端口-p 8080:8080与容器绑定,向localhost:8080发出HTTP请求,以使python服务器使用popen运行shell脚本,运行curl或编写代码以使HTTP请求curl -d'{“ foo”:“ bar”}'localhost:8080
#!/usr/bin/python
from BaseHTTPServer import BaseHTTPRequestHandler,HTTPServer
import subprocess
import json
PORT_NUMBER = 8080
# This class will handles any incoming request from
# the browser
class myHandler(BaseHTTPRequestHandler):
def do_POST(self):
content_len = int(self.headers.getheader('content-length'))
post_body = self.rfile.read(content_len)
self.send_response(200)
self.end_headers()
data = json.loads(post_body)
# Use the post data
cmd = "your shell cmd"
p = subprocess.Popen(cmd, stdout=subprocess.PIPE, shell=True)
p_status = p.wait()
(output, err) = p.communicate()
print "Command output : ", output
print "Command exit status/return code : ", p_status
self.wfile.write(cmd + "\n")
return
try:
# Create a web server and define the handler to manage the
# incoming request
server = HTTPServer(('', PORT_NUMBER), myHandler)
print 'Started httpserver on port ' , PORT_NUMBER
# Wait forever for incoming http requests
server.serve_forever()
except KeyboardInterrupt:
print '^C received, shutting down the web server'
server.socket.close()
我的懒惰使我找到了一个最简单的解决方案,但这里没有给出答案。
为了从docker容器中获取完整的shell到Linux主机,您需要做的是:
docker run --privileged --pid=host -it alpine:3.8 \
nsenter -t 1 -m -u -n -i sh
说明:
--privileged:授予容器其他权限,它允许容器访问主机(/ dev)的设备
--pid = host:允许容器使用Docker主机(运行Docker守护程序的VM)的进程树nsenter实用程序:允许在现有名称空间(为容器提供隔离的构造块)中运行进程
nsenter(-t 1 -m -u -n -i sh)允许在与PID 1的进程相同的隔离上下文中运行进程sh。然后,整个命令将在VM中提供交互式sh shell。
此设置具有重大的安全隐患,应谨慎使用(如果有)。
我有一个简单的方法。
步骤1:挂载/var/run/docker.sock:/var/run/docker.sock(因此您将能够在容器内执行docker命令)
步骤2:在您的容器中执行以下操作。这里的关键部分是(--network host,因为它将从主机上下文执行)
docker run -i --rm-网络主机-v /opt/test.sh:/test.sh高山:3.7 sh /test.sh
test.sh应该包含一些您需要的命令(ifconfig,netstat等)。现在,您将能够获取主机上下文输出。
正如Marcus提醒的那样,泊坞窗基本上是进程隔离。从docker 1.8开始,您可以在主机和容器之间双向复制文件,请参阅docker cp
https://docs.docker.com/reference/commandline/cp/
复制文件后,您可以在本地运行它
myvalue=$(docker run -it ubuntu echo $PATH)
并定期在脚本外壳中对其进行测试(当然,您将使用除$ PATH以外的其他值,仅作为示例),是一些特定的值,您启动脚本
您可以使用管道概念,但可以使用主机和fswatch上的文件来实现从Docker容器在主机上执行脚本的目标。像这样(使用后果自负):
#! /bin/bash
touch .command_pipe
chmod +x .command_pipe
# Use fswatch to execute a command on the host machine and log result
fswatch -o --event Updated .command_pipe | \
xargs -n1 -I "{}" .command_pipe >> .command_pipe_log &
docker run -it --rm \
--name alpine \
-w /home/test \
-v $PWD/.command_pipe:/dev/command_pipe \
alpine:3.7 sh
rm -rf .command_pipe
kill %1
在此示例中,在容器内向/ dev / command_pipe发送命令,如下所示:
/home/test # echo 'docker network create test2.network.com' > /dev/command_pipe
在主机上,您可以检查是否已创建网络:
$ docker network ls | grep test2
8e029ec83afe test2.network.com bridge local
扩展user2915097的 响应:
隔离的思想是能够非常清楚地限制应用程序/进程/容器(无论您的角度如何)对主机系统的作用。因此,能够复制和执行文件确实会破坏整个概念。
是。但这有时是必要的。
不。不是这样,否则Docker不是正确的选择。你应该做的是宣布一个明确的接口,你想要做什么(例如更新主机配置),并写一个最小的客户端/服务器做的正是这一点,仅此而已。通常,这似乎不是很理想。在许多情况下,您只需要重新考虑您的方法并消除这种需求即可。当基本上所有东西都是使用某种协议可以到达的服务时,Docker就应运而生了。我想不出Docker容器有任何适当的用例来获得在主机上执行任意内容的权利。
A
(github上的src)。在A
回购协议中,我创建了适当的钩子,在执行“ git pull”命令后,将创建新的docker映像并运行它们(当然,并删除旧容器)。下一步:github有Web钩子,允许在按下master之后向任意端点链接创建POST请求。因此,我将不会创建将成为该端点的dockerized服务B,并且该服务将仅在HOST机器中的存储库A中运行“ git pull”(重要:命令“ git pull”必须在HOST环境中执行-不在B环境中执行,因为B无法在B内运行新的容器A ...)