Explorer le système de fichiers du conteneur Docker

J'ai remarqué avec Docker que je dois comprendre ce qui se passe à l'intérieur d'un conteneur ou quels fichiers s'y trouvent. Un exemple est le téléchargement d'images à partir de l'index de docker - vous n'avez aucune idée de ce que contient l'image, il est donc impossible de démarrer l'application.

Ce qui serait idéal, c'est de pouvoir y entrer en ssh ou équivalent. Existe-t-il un outil pour le faire, ou ma conceptualisation du docker est-elle erronée en pensant que je devrais être capable de le faire?

MISE À JOUR
Méthode la plus simple: utiliser docker exec

Docker version 1.3 ou plus récente prend en charge la commande execqui se comporte comme nsenter. Cette commande peut exécuter un nouveau processus dans un conteneur déjà en cours d'exécution (le processus PID 1 doit déjà être exécuté sur le conteneur). Vous pouvez exécuter /bin/bashpour explorer l'état du conteneur:

docker exec -t -i mycontainer /bin/bash

voir la documentation de la ligne de commande Docker

Méthode alternative 1
Instantané

Vous pouvez évaluer le système de fichiers conteneur de cette façon:

# find ID of your running container:
docker ps

# create image (snapshot) from container filesystem
docker commit 12345678904b5 mysnapshot

# explore this filesystem using bash (for example)
docker run -t -i mysnapshot /bin/bash

De cette façon, vous pouvez évaluer le système de fichiers du conteneur en cours d'exécution au moment précis. Le conteneur est toujours en cours d'exécution, aucune modification future n'est incluse.

Vous pouvez ensuite supprimer l'instantané à l'aide de (le système de fichiers du conteneur en cours d'exécution n'est pas affecté!):

docker rmi mysnapshot

Méthode alternative 2
ssh

Si vous avez besoin d'un accès continu, vous pouvez installer sshd sur votre conteneur et exécuter le démon sshd:

 docker run -d -p 22 mysnapshot /usr/sbin/sshd -D

 # you need to find out which port to connect:
 docker ps

De cette façon, vous pouvez exécuter votre application à l'aide de ssh (connectez-vous et exécutez ce que vous voulez).

MISE À JOUR: Méthode alternative 3
nsenter

Utilisation nsenter, voir https://web.archive.org/web/20160305150559/http://blog.docker.com/2014/06/why-you-dont-need-to-run-sshd-in-docker/

La version courte est: avec nsenter, vous pouvez obtenir un shell dans un conteneur existant, même si ce conteneur n'exécute pas SSH ou tout type de démon à usage spécial

MISE À JOUR: EXPLORER!

Cette commande devrait vous permettre d' explorer un conteneur Docker en cours d'exécution :

docker exec -it name-of-container bash

L'équivalent pour cela dans docker-compose serait:

docker-compose exec web bash

(web est le nom du service dans ce cas et il a tty par défaut.)

Une fois à l'intérieur, faites:

ls -lsa

ou toute autre commande bash comme:

cd ..

Cette commande devrait vous permettre d' explorer une image de docker :

docker run --rm -it --entrypoint=/bin/bash name-of-image

une fois à l'intérieur faire:

ls -lsa

ou toute autre commande bash comme:

cd ..

Le -itsignifie interactif ... et tty.

Cette commande devrait vous permettre d' inspecter un conteneur ou une image de docker en cours d'exécution :

docker inspect name-of-container-or-image

Vous voudrez peut-être le faire et savoir s'il y en a bashou s'il y shen a. Recherchez point d'entrée ou cmd dans le retour json.

voir la documentation de docker exec

voir la documentation de docker-compose exec

voir docker inspecter la documentation

Dans le cas où votre conteneur est arrêté ou n'a pas de shell (par exemple hello-worldmentionné dans le guide d'installation , ou non alpine traefik), c'est probablement la seule méthode possible pour explorer le système de fichiers.

Vous pouvez archiver le système de fichiers de votre conteneur dans un fichier tar:

docker export adoring_kowalevski > contents.tar

Ou répertoriez les fichiers:

docker export adoring_kowalevski | tar t

Notez qu'en fonction de l'image, cela peut prendre du temps et de l'espace disque.

Le système de fichiers du conteneur se trouve dans le dossier de données de docker, normalement dans / var / lib / docker. Pour démarrer et inspecter un système de fichiers de conteneurs en cours d'exécution, procédez comme suit:

hash=$(docker run busybox)
cd /var/lib/docker/aufs/mnt/$hash

Et maintenant, le répertoire de travail actuel est la racine du conteneur.

Avant la création du conteneur:

Si vous souhaitez explorer la structure de l'image qui est montée à l'intérieur du conteneur, vous pouvez le faire

sudo docker image save image_name > image.tar
tar -xvf image.tar

Cela vous donnerait la visibilité de toutes les couches d'une image et sa configuration qui est présente dans les fichiers json.

Après la création du conteneur:

Pour cela, il y a déjà beaucoup de réponses ci-dessus. ma façon préférée de le faire serait -

docker exec -t -i container /bin/bash

La réponse la plus votée fonctionne pour moi lorsque le conteneur est réellement démarré, mais quand il n'est pas possible de l'exécuter et que vous souhaitez par exemple copier des fichiers du conteneur, cela m'a déjà sauvé:

docker cp <container-name>:<path/inside/container> <path/on/host/>

Grâce à docker cp ( lien ), vous pouvez copier directement à partir du conteneur comme c'était n'importe quelle autre partie de votre système de fichiers. Par exemple, récupérer tous les fichiers à l'intérieur d'un conteneur:

mkdir /tmp/container_temp
docker cp example_container:/ /tmp/container_temp/

Notez que vous n'avez pas besoin de spécifier que vous souhaitez copier récursivement.

Sur Ubuntu 14.04 exécutant Docker 1.3.1 , j'ai trouvé le système de fichiers racine du conteneur sur la machine hôte dans le répertoire suivant:

/var/lib/docker/devicemapper/mnt/<container id>/rootfs/

Informations complètes sur la version Docker:

Client version: 1.3.1
Client API version: 1.15
Go version (client): go1.3.3
Git commit (client): 4e9bbfa
OS/Arch (client): linux/amd64
Server version: 1.3.1
Server API version: 1.15
Go version (server): go1.3.3
Git commit (server): 4e9bbfa

Essayez d'utiliser

docker exec -it <container-name> /bin/bash

Il est possible que bash ne soit pas implémenté. pour cela vous pouvez utiliser

docker exec -it <container-name> sh

J'utilise un autre truc sale qui est agnostique aufs / devicemapper.

Je regarde la commande que le conteneur exécute par exemple docker ps et si c'est un apache ou javaje fais juste ce qui suit:

sudo -s
cd /proc/$(pgrep java)/root/

et voilá vous êtes à l'intérieur du conteneur.

Fondamentalement, vous pouvez en tant que root root dans un /proc/<PID>/root/dossier tant que ce processus est exécuté par le conteneur. Attention, les liens symboliques n'auront aucun sens lorsque vous utiliserez ce mode.

La réponse la plus votée est bonne, sauf si votre conteneur n'est pas un véritable système Linux.

De nombreux conteneurs (en particulier ceux basés sur Go) n'ont pas de binaire standard (non /bin/bash ou /bin/sh). Dans ce cas, vous devrez accéder directement au fichier de conteneurs réel:

Fonctionne comme un charme:

name=<name>
dockerId=$(docker inspect -f {{.Id}} $name)
mountId=$(cat /var/lib/docker/image/aufs/layerdb/mounts/$dockerId/mount-id)
cd /var/lib/docker/aufs/mnt/$mountId

Remarque: vous devez l'exécuter en tant que root.

Dans mon cas, aucun shell n'a été pris en charge dans le conteneur, sauf sh. Donc, cela a fonctionné comme un charme

docker exec -it <container-name> sh

vous pouvez utiliser la plongée pour afficher le contenu de l'image de manière interactive avec TUI

https://github.com/wagoodman/dive

Cela lancera une session bash pour l'image:

docker run --rm -it --entrypoint = / bin / bash

Pour moi, celui-ci fonctionne bien (merci aux derniers commentaires pour avoir signalé le répertoire / var / lib / docker / ):

chroot /var/lib/docker/containers/2465790aa2c4*/root/

Ici, 2465790aa2c4 est l'ID court du conteneur en cours d'exécution (tel qu'affiché par docker ps ), suivi d'une étoile.

Sur les nouvelles versions de Docker, vous pouvez exécuter docker exec [container_name] qui exécute un shell à l'intérieur de votre conteneur

Donc, pour obtenir une liste de tous les fichiers d'un conteneur, il suffit d'exécuter docker exec [container_name] ls

Pour le pilote docker aufs:

Le script trouvera le répertoire racine du conteneur (test sur docker 1.7.1 et 1.10.3)

if [ -z "$1" ] ; then
 echo 'docker-find-root $container_id_or_name '
 exit 1
fi
CID=$(docker inspect   --format {{.Id}} $1)
if [ -n "$CID" ] ; then
    if [ -f  /var/lib/docker/image/aufs/layerdb/mounts/$CID/mount-id ] ; then
        F1=$(cat /var/lib/docker/image/aufs/layerdb/mounts/$CID/mount-id)
       d1=/var/lib/docker/aufs/mnt/$F1
    fi
    if [ ! -d "$d1" ] ; then
        d1=/var/lib/docker/aufs/diff/$CID
    fi
    echo $d1
fi

Aucune des réponses existantes ne traite du cas d'un conteneur qui est sorti (et ne peut pas être redémarré) et / ou n'a pas de shell installé (par exemple, ceux sans distraction). Celui-ci fonctionne tant que vous avez un accès root à l'hôte Docker.

Pour une véritable inspection manuelle, découvrez d'abord les ID de couche:

docker inspect my-container | jq '.[0].GraphDriver.Data'

Dans la sortie, vous devriez voir quelque chose comme

"MergedDir": "/var/lib/docker/overlay2/03e8df748fab9526594cfdd0b6cf9f4b5160197e98fe580df0d36f19830308d9/merged"

Naviguez dans ce dossier (en tant que root) pour trouver l'état visible actuel du système de fichiers du conteneur.

Cette réponse aidera ceux (comme moi) qui souhaitent explorer le système de fichiers du volume Docker même si le conteneur n'est pas en cours d'exécution.

Liste des conteneurs Docker en cours d'exécution:

docker ps

=> ID CONTENANT "4c721f1985bd"

Regardez les points de montage du volume Docker sur votre machine physique locale ( https://docs.docker.com/engine/tutorials/dockervolumes/ ):

docker inspect -f {{.Mounts}} 4c721f1985bd

=> [{/ tmp / container-garren / tmp true rprivate}]

Cela m'indique que le répertoire de la machine physique locale / tmp / container-garren est mappé sur la destination du volume docker / tmp.

Connaître le répertoire de la machine physique locale (/ tmp / container-garren) signifie que je peux explorer le système de fichiers, que le conteneur Docker soit en cours d'exécution ou non. Cela était essentiel pour m'aider à comprendre qu'il y avait des données résiduelles qui n'auraient pas dû persister même après que le conteneur n'était pas en cours d'exécution.

une autre astuce consiste à utiliser l' outil atomique pour faire quelque chose comme:

mkdir -p /path/to/mnt && atomic mount IMAGE /path/to/mnt

L'image Docker sera montée dans / path / to / mnt pour que vous puissiez l'inspecter.

Uniquement pour LINUX

La façon la plus simple que j'utilise était d'utiliser proc dir, qui est le conteneur qui doit être en cours d'exécution afin d'inspecter les fichiers du conteneur docker.

1. Découvrez l'ID de processus (PID) du conteneur et stockez-le dans une variable

   PID = $ (docker inspect -f '{{.State.Pid}}' votre-nom-de-conteneur-ici)

2. Assurez-vous que le processus de conteneur est en cours d'exécution et utilisez la variable nameto pour accéder au dossier du conteneur

   cd / proc / $ PID / root

Si vous voulez parcourir le répertoire sans trouver le numéro PID simplement en utilisant cette longue commande

cd /proc/$(docker inspect -f '{{.State.Pid}}' your-container-name-here)/root

Conseils:

Après avoir pénétré à l'intérieur du conteneur, tout ce que vous faites affectera le processus réel du conteneur, tel que l'arrêt du service ou la modification du numéro de port.

J'espère que cela aide

Remarque:

Cette méthode ne fonctionne que si le conteneur est toujours en cours d'exécution, sinon le répertoire n'existerait plus si le conteneur s'est arrêté ou supprimé

Ma façon préférée de comprendre ce qui se passe à l'intérieur du conteneur est:

1. exposer -p 8000

   docker run -it -p 8000:8000 image
   

2. Démarrer le serveur à l'intérieur

   python -m SimpleHTTPServer
   

Pour un conteneur déjà en cours d'exécution, vous pouvez faire:

dockerId=$(docker inspect -f {{.Id}} [docker_id_or_name])

cd /var/lib/docker/btrfs/subvolumes/$dockerId

Vous devez être root pour pouvoir accéder à ce répertoire. Si vous n'êtes pas root, essayez 'sudo su' avant d'exécuter la commande.

Edit: Après la v1.3, voir la réponse de Jiri - c'est mieux.

Si vous utilisez Docker v19.03, vous suivez les étapes ci-dessous.

# find ID of your running container:

  docker ps

# create image (snapshot) from container filesystem

  docker commit 12345678904b5 mysnapshot

# explore this filesystem 

  docker run -t -i mysnapshot /bin/sh

Si vous utilisez le pilote de stockage AUFS, vous pouvez utiliser mon script de couche d'ancrage pour trouver la racine du système de fichiers (mnt) et la couche de réécriture de n'importe quel conteneur:

# docker-layer musing_wiles
rw layer : /var/lib/docker/aufs/diff/c83338693ff190945b2374dea210974b7213bc0916163cc30e16f6ccf1e4b03f
mnt      : /var/lib/docker/aufs/mnt/c83338693ff190945b2374dea210974b7213bc0916163cc30e16f6ccf1e4b03f

Edit 2018-03-28:
docker-layer a été remplacé par docker-backup

La docker execcommande pour exécuter une commande dans un conteneur en cours d'exécution peut aider dans plusieurs cas.

Utilisation: docker exec [OPTIONS] COMMANDE DE CONTENEUR [ARG ...]

Exécutez une commande dans un conteneur en cours d'exécution

Options:
  -d, --detach Mode détaché: exécuter la commande en arrière-plan
      --detach-keys string Remplace la séquence de touches pour détacher un
                             récipient
  -e, --env list Définit les variables d'environnement
  -i, --interactive Gardez STDIN ouvert même s'il n'est pas connecté
      --privileged Donne des privilèges étendus à la commande
  -t, --tty Attribuer un pseudo-ATS
  -u, --user chaîne Nom d'utilisateur ou UID (format:
                             [:])
  -w, --workdir string Répertoire de travail à l'intérieur du conteneur

Par exemple :

1) Accès en bash au système de fichiers du conteneur en cours d'exécution:

docker exec -it containerId bash 

2) Accès en bash au système de fichiers du conteneur en cours d'exécution en tant que root pour pouvoir disposer des droits requis:

docker exec -it -u root containerId bash  

Ceci est particulièrement utile pour pouvoir effectuer certains traitements en tant que root dans un conteneur.

3) Accès en bash au système de fichiers conteneur en cours d'exécution avec un répertoire de travail spécifique:

docker exec -it -w /var/lib containerId bash 

Vous pouvez exécuter un bash à l'intérieur du conteneur avec ceci: $ docker run -it ubuntu /bin/bash