Comment créer des groupes de contrôle utilisateur avec systemd

J'utilise des lxcconteneurs non privilégiés dans Arch Linux. Voici les informations de base du système:

[chb@conventiont ~]$ uname -a
Linux conventiont 3.17.4-Chb #1 SMP PREEMPT Fri Nov 28 12:39:54 UTC 2014 x86_64 GNU/Linux

C'est un noyau personnalisé / compilé avec user namespace enabled:

[chb@conventiont ~]$ lxc-checkconfig 
--- Namespaces ---
Namespaces: enabled
Utsname namespace: enabled
Ipc namespace: enabled
Pid namespace: enabled
User namespace: enabled
Network namespace: enabled
Multiple /dev/pts instances: enabled

--- Control groups ---
Cgroup: enabled
Cgroup clone_children flag: enabled
Cgroup device: enabled
Cgroup sched: enabled
Cgroup cpu account: enabled
Cgroup memory controller: enabled
Cgroup cpuset: enabled

--- Misc ---
Veth pair device: enabled
Macvlan: enabled
Vlan: enabled
File capabilities: enabled

Note : Before booting a new kernel, you can check its configuration
usage : CONFIG=/path/to/config /usr/bin/lxc-checkconfig

[chb@conventiont ~]$ systemctl --version
systemd 217
+PAM -AUDIT -SELINUX -IMA -APPARMOR +SMACK -SYSVINIT +UTMP +LIBCRYPTSETUP +GCRYPT +GNUTLS +ACL +XZ +LZ4 +SECCOMP +BLKID -ELFUTILS +KMOD +IDN 

Malheureusement, systemdne joue pas bien avec lxcactuellement. En particulier, la configuration cgroupspour un utilisateur non root ne fonctionne pas bien ou je ne sais pas trop comment faire. lxcdémarre un conteneur en mode non privilégié uniquement lorsqu'il peut créer les groupes de contrôle nécessaires dans /sys/fs/cgroup/XXX/*. Cela n'est cependant pas possible lxccar il systemdmonte la roothiérarchie de groupe de contrôle dans /sys/fs/cgroup/*. Une solution de contournement semble être la suivante:

for d in /sys/fs/cgroup/*; do
        f=$(basename $d)
        echo "looking at $f"
        if [ "$f" = "cpuset" ]; then
                echo 1 | sudo tee -a $d/cgroup.clone_children;
        elif [ "$f" = "memory" ]; then
                echo 1 | sudo tee -a $d/memory.use_hierarchy;
        fi
        sudo mkdir -p $d/$USER
        sudo chown -R $USER $d/$USER
        echo $$ > $d/$USER/tasks
done

Ce code crée les cgrouprépertoires correspondants dans la cgrouphiérarchie pour un utilisateur non privilégié. Cependant, quelque chose que je ne comprends pas se produit. Avant d'exécuter ce qui précède, je verrai ceci:

[chb@conventiont ~]$ cat /proc/self/cgroup 
8:blkio:/
7:net_cls:/
6:freezer:/
5:devices:/
4:memory:/
3:cpu,cpuacct:/
2:cpuset:/
1:name=systemd:/user.slice/user-1000.slice/session-c1.scope

Après avoir exécuté le code susmentionné que je vois dans le shell, je l'ai exécuté:

[chb@conventiont ~]$ cat /proc/self/cgroup 
8:blkio:/chb
7:net_cls:/chb
6:freezer:/chb
5:devices:/chb
4:memory:/chb
3:cpu,cpuacct:/chb
2:cpuset:/chb
1:name=systemd:/chb

Mais dans tout autre shell, je vois toujours:

[chb@conventiont ~]$ cat /proc/self/cgroup 
8:blkio:/
7:net_cls:/
6:freezer:/
5:devices:/
4:memory:/
3:cpu,cpuacct:/
2:cpuset:/
1:name=systemd:/user.slice/user-1000.slice/session-c1.scope

Par conséquent, je peux démarrer mon lxcconteneur non privilégié dans le shell que j'ai exécuté le code mentionné ci-dessus mais pas dans aucun autre.

1. Quelqu'un peut-il expliquer ce comportement?

2. Quelqu'un a-t-il trouvé un meilleur moyen de configurer le nécessaire cgroupsavec une version actuelle de systemd( >= 217)?

Une solution meilleure et plus sûre consiste à installer cgmanageret l' exécuter avec systemctl start cgmanager(sur un systemddistro basé). Vous pouvez alors demander à votre rootutilisateur, ou si vous avez des sudodroits sur l'hôte de créer cgroupspour votre utilisateur non privilégié dans tous les contrôleurs avec:

sudo cgm create all $USER
sudo cgm chown all $USER $(id -u $USER) $(id -g $USER)

Une fois qu'ils ont été créés pour votre utilisateur non privilégié, il / elle peut déplacer les processus auxquels il a accès dans le sien cgrouppour chaque contrôleur en utilisant:

cgm movepid all $USER $PPID

Plus sûr, plus rapide et plus fiable que le script shell que j'ai publié.

Solution manuelle:

Pour répondre 1.

for d in /sys/fs/cgroup/*; do
        f=$(basename $d)
        echo "looking at $f"
        if [ "$f" = "cpuset" ]; then
                echo 1 | sudo tee -a $d/cgroup.clone_children;
        elif [ "$f" = "memory" ]; then
                echo 1 | sudo tee -a $d/memory.use_hierarchy;
        fi
        sudo mkdir -p $d/$USER
        sudo chown -R $USER $d/$USER
        echo $$ > $d/$USER/tasks
done

Je ne connaissais pas ce qui se passait exactement quand j'ai écrit ce script , mais la lecture de ce et d' expérimenter un peu m'a aidé à comprendre ce qui se passe. Ce que je fais essentiellement dans ce script est de créer une nouvelle cgroupsession pour le courant, userce que j'ai déjà dit ci-dessus. Lorsque j'exécute ces commandes dans le courant shellou les exécute dans un script et que je les évalue dans le courant shellet non dans un subshell(via . scriptLe .est important pour que cela fonctionne!), C'est que je n'ouvre pas simplement une nouvelle session pour usermais ajoutez le shell actuel en tant que processus qui s'exécute dans ce nouveau groupe de contrôle. Je peux obtenir le même effet en exécutant le script dans un sous-shell, puis descendre dans la cgrouphiérarchie dans le chb subcgroupet utiliserecho $$ > taskspour ajouter le shell courant à chaque membre du chb cgroup hierarchy.

Par conséquent, lorsque je cours lxcdans ce shell actuel, mon conteneur devient également membre de tous les chb subcgroups dont le courant shellest membre. C'est-à-dire que mon containerhérite du cgroupstatut de mon shell. Cela explique également pourquoi il ne fonctionne dans aucun autre shell qui ne fait pas partie de l'actuel chb subcgroups.

Je passe toujours 2.. Nous devrons probablement attendre une systemdmise à jour ou d'autres Kerneldéveloppements pour systemdadopter un comportement cohérent, mais je préfère quand même la configuration manuelle car elle vous oblige à comprendre ce que vous faites.

En fait, dans archlinux, cela ne fonctionnera pas avec, par exemple, un utilisateur non privilégié (recommandé lorsque vous utilisez des conteneurs lxc privés). c'est à dire que cet utilisateur n'a pas sudo :)

Au lieu de cela, définissez le groupe dans /etc/cgconfig.conf, activez cgconfig, cgrules (libcgroup dans AUR), ajoutez également des cgrules, fait .. priv. l'utilisateur aura également les mêmes droits.

Dans systemd 218 (je ne sais pas quand, mais il semble que l'on doive ajouter deux autres conditions car elles ne sont pas définies lors de la création de la manière cgconfig):

cat /etc/cgconfig.conf

group lxcadmin {
perm {
    task {
        uid = lxcadmin;
        gid = lxcadmin;
    }
    admin {
        uid = lxcadmin;
        gid = lxcadmin;
    }
}
cpu { }
memory { memory.use_hierarchy = 1; }  
blkio { }
cpuacct { }
cpuset { 
    cgroup.clone_children = 1;
    cpuset.mems = 0;
    cpuset.cpus = 0-3; 
}
devices { }
freezer { }
hugetlb { }
net_cls { }
}

cat /etc/cgrules.conf
lxcadmin        *       lxcadmin/

En supposant que l'espace de noms est compilé dans le noyau.

Ceci est un modèle, les processeurs peuvent être fonction du nombre de cœurs que vous avez, mem peut être défini sur une valeur réelle, etc., etc.

EDIT 2: Enfin, dans systemd, si vous souhaitez utiliser le démarrage automatique avec un tel utilisateur non privilégié, vous pouvez faire:

cp /usr/lib/systemd/system/lxc{,admin}\@.service, puis ajoutez User = lxcadmin

et l'activer pour le conteneur de lxcadmin appelé lolz systemctl activer lxcadmin @ lolz.

J'ai donc rencontré le même problème en essayant de faire fonctionner les conteneurs sans privilèges LXC sur CentOS 7. Je ne voulais pas l'utiliser cgmanagerparce que je n'aime pas introduire de services supplémentaires s'ils ne sont pas absolument nécessaires. Ce que j'ai fini par faire à la place, c'est patcher systemd en utilisant certains patchs du paquet ubuntu et un patch personnalisé pour étendre la liste des contrôleurs cgroup. J'ai les sources nécessaires pour créer un RPM sur mon compte GitHub à https://github.com/CtrlC-Root/rpmdist . J'ai également des versions corrigées de shadow-utils (pour les subuids et subgids) et pam (pour loginuid). Après avoir installé ces RPM et configuré un utilisateur pour exécuter des conteneurs sans privilèges (attribuer des sous-uid et des subgids, allouer des paires de veth dans lxc-usernet, créer .config / lxc / default.conf, etc.), je peux très bien exécuter des conteneurs sans privilèges LXC.

EDIT: Une autre raison pour laquelle je ne voulais pas utiliser cgmanager est parce que je ne voulais pas que mes utilisateurs réguliers aient à utiliser sudo du tout. Les utilisateurs réguliers devraient pouvoir se connecter et tout devrait "fonctionner" dès la sortie de la boîte.