MkItYs: コンテナを一般ユーザで使う：Linux (Ubuntu) , Docker (Rootless) , GPU, NFS

コンテナ（Docker）を一般ユーザで動かす手順ですーーいくつかやり方がありますが、いまはルートレスモードが正式対応となったので、これを導入します。

検証

・: ＯＳ：Ubuntu 20.04, 22.04
・: コンテナ：Docker 20.10

概要：コンテナのセキュリティ

コンテナは便利な技術ですが、セキュリティが弱いという面がありますーー原理上、管理ユーザ（root）の権限でコンテナを動かすので、複数の利用者がいる場合（マルチユーザ）、すべてのコンテナにすべての利用者がかんたんにアクセスできてしまうからです。

また利用者が単独で使う場合も、問題はありますーーコンテナ上で作成したファイルをホスト上に置くと、基本的にその所有者も管理ユーザになりますーー一般ユーザでコンテナを動かす場面も多くあるので、この権限の差は、いろいろ面倒なことを引き起こします。

これらの問題を（完全にではありませんが）解決するのが、「ルートレス」と呼ばれる技術です。［※１］［※２］

※１: これを提案〜実装したのは、日本の須田瑛大氏です：
・: https://medium.com/nttlabs/rootless-docker-12decb900fb9

※２: これ以前にもいくつか回避策はありましたが（利用者の任意に任せるなど（--user））、緩く煩雑なものでした。

手順：管理ユーザ：ルートレスキットを導入する

最近のＯＳ（Ubuntu 20.04/22.04）では、ルートレスモードに正式対応したコンテナ（Docker 20.10 -）が、既定で設置されるようになりましたーーこれで、古いパッケージ群を削除する必要もなく、かんたんにルートレスを導入できるようになっています。

まず管理ユーザで、次を実行します：

$ docker --version # バージョンを確認

$ apt install gnupg
$ apt install curl
$ cd /etc/apt
$ cp -p sources.list sources.list_org
$ vi sources.list # リポジトリを追加
deb https://download.docker.com/linux/ubuntu/ focal stable # 次の場合：ubuntu 20.04
deb https://download.docker.com/linux/ubuntu/ jammy stable # 次の場合：ubuntu 22.04
$ curl -fsSL https://download.docker.com/linux/ubuntu/gpg | apt-key add -
$ apt update

$ apt install docker-ce-rootless-extras # 併せて設置される：slirp4netns
$ apt install uidmap

$ systemctl disable --now docker.service
$ systemctl disable --now docker.socket
$ reboot

手順：管理ユーザ：ユーザ名前空間を振り分ける

それぞれの一般ユーザが、コンテナ上でさらに独自の一般ユーザ群を作れるようにするため、カーネルの「ユーザ名前空間」が利用されますーーこれらのＩＤをホスト側のＩＤとマッピングするのに、次の設定ファイル群が使われます：

・: /etc/subuid
・: /etc/subgid

次の書式で、それぞれの一般ユーザに、使えるＩＤの範囲を割り当てます：［※１］［※２］［※３］

・: https://docs.docker.com/engine/security/rootless/

<user>:<start>:<size>

※１: これを設定しないと、ルートレスモードのコンテナは起動しません。

※２: それぞれの一般ユーザに割り当てるサブＩＤ群は、原則、次の範囲です：65536

※３: ユーザを登録するコマンド（useradd, etc. ）を使えば、これらのサブＩＤは自動でマップされます。ただし、すでに登録されているユーザについては、手動で登録することになります。

手順：管理ユーザ：ＧＰＵを使う

ルートレスモードでエヌビディア社のＧＰＵを使うときは、次のようにＧＰＵの設定を書き換えます：

・: https://docs.nvidia.com/datacenter/cloud-native/container-toolkit/install-guide.html

$ cd /etc/nvidia-container-runtime
$ cp -p config.toml config.toml_org
$ sed -i 's/^#no-cgroups = false/no-cgroups = true/' config.toml

手順：管理ユーザ：ＮＦＳと連携させる

ルートレスモードにすると、既定では、コンテナの（イメージなどが格納される）「データルート」の置き場所が、それぞれのユーザのホームディレクトリ配下になります。

ホームディレクトリをＮＦＳで共有している場合、これがコンテナの制約に触れることになります（データルートは、ＮＦＳで共有するファイルシステムに置けない）。

この制約への対策として、データルートをそれぞれのマシンの配下に置くため、それぞれの一般ユーザで設定を書き換えます：

・: https://docs.docker.com/engine/security/rootless/

$ cd ${HOME}/.config/docker
$ vi daemon.json
{
  "data-root" : "${directory_data_root}/${USER}/docker"
}

それぞれのマシンでは、データルートの置き場所となるフォルダを作ります。そして一般ユーザに、（自身のフォルダを作れるよう）書き込みのアクセス権を与えておきます。［※１］

※１: それぞれのマシンでデータルートの置き場所を統一するには、シンボリックリンクを使うしかありません（ストレージの構成に柔軟に対応するにはーーハードリンクも使えないので）。ただこれもコンテナの制約に触れるようで、ＮＦＳとの共存はやっかいですね……
・: https://drgripa1.hatenablog.com/entry/2021/05/08/195822

手順：一般ユーザ：初期設定をする

それぞれの一般ユーザで、次を実行します：［※１］

$ dockerd-rootless-setuptool.sh install

$ systemctl --user status docker
$ systemctl --user start docker # 起動していないなら

※１: 既定のシェルがsh/bash でない場合、次の環境変数を、ログイン時に有効にするような設定が必要になるかもしれません：
・: DOCKER_HOST=unix:///run/user/${UID}/docker.sock

手順：一般ユーザ：コンテナで（Ｘウィンドウ依存の）ＧＵＩアプリを使う

ルートレスモードでは、ホスト側のネットワークリソースを占有できません。そのため、コンテナ上で動くＧＵＩアプリを使うには、コンテナ側でＳＳＨサーバを動かす必要があります：［※１］

・: Ｘクライアントの設定（リモートホスト：コンテナ：マルチユーザの場合）

※１: むしろこれが、Ｘフォワーディングでは適切な対応のしかたですが……

手順：一般ユーザ／管理ユーザ：ログアウトしたあとも、コンテナを稼働させておく

一般ユーザがログアウトしたあともコンテナを稼働させておくようにするには、（管理ユーザの権限で）次を実行します：［※１］［※２］

$ loginctl enable-linger ${USER} # そのユーザのサービスを稼働させ続ける
$ loginctl disable-linger ${USER} # ログアウトでサービスが停止するようにする

※１: 一般ユーザにこの権限（管理ユーザになる権限）を与える場合は、これらの操作の手順と影響について、相応の説明が必要になるはずです。

※２: あるいは、ログアウトしたあともセッションを維持するアプリ（tmux, etc.）を使う、という選択肢もあります。

補足：ＮＦＳと連携させる［非推奨（これはただの実験です）］

なおデータルートのＮＦＳにおける制約については、次のような回避策が言及されていたりもします：

・: https://www.reddit.com/r/docker/comments/iqhzxm/dataroot_on_a_nfs_filesystem_is_it_possible/

たしかにＮＦＳマウントしたファルダ上にイメージファイルを作り、それをループバックマウントすれば、エラーは出なくなります［下記］。

しかしこのやり方は問題がありますーーＯＳからはあくまでローカルにマウントしているようにみえるので、複数のＮＦＳクライアント／コンテナがこのイメージを共有すると、どのような挙動になるのか予測がつきませんーーあくまで単独ユーザでの実験の範囲にとどめるべきものです。

◯: 手順：一般ユーザで：

コンテナイメージを作成（ → 失敗）：

$ docker pull ubuntu:latest
latest: Pulling from library/ubuntu
cf92e523b49e: Extracting  30.43MB/30.43MB
failed to register layer: ApplyLayer exit status 1 stdout:  stderr: lchown /etc/gshadow: operation not permitted

いったんログアウト。

◯: 手順：管理ユーザで／ＮＦＳサーバ側：

ＮＦＳエクスポートしたフォルダに、イメージファイルを作成：

$ cd ${dir_exported}
$ dd if=/dev/zero of=${user}.img bs=1M count=1000
$ mkfs.ext4 ${user}.img

◯: 手順：管理ユーザで／ＮＦＳクライアント側：

ＮＦＳマウントしたフォルダ上のイメージファイルを、ループバックマウント：

$ mkdir ${dir_loopbak}
$ mount -t ext4 -o loop ${dir_mounted}/${user}.img ${dir_loopbak}

対象ユーザのホームディレクトリを、イメージファイル上のフォルダに変更：

$ cd ${dir_loopbak}
$ cp -pr ${dir_mounted}/${user} .
$ usermod -d ${dir_loopbak}/${user} ${user}

◯: 手順：一般ユーザで：

再度ログイン、コンテナイメージを作成（ → 成功）：

$ docker pull ubuntu:latest
latest: Pulling from library/ubuntu
cf92e523b49e: Pull complete 
Digest: sha256:35fb073f9e56eb84041b0745cb714eff0f7b225ea9e024f703cab56aaa5c7720
Status: Downloaded newer image for ubuntu:latest
docker.io/library/ubuntu:latest

コンテナの起動やコミットなども、いちおう可能。

関連

検証