Контейнер без Docker. Собираем контейнер в Linux своими руками

Да, за пос­ледние годы Docker фак­тичес­ки стал синони­мом кон­тей­нериза­ции: раз­работ­чики запус­кают в нем при­ложе­ния, адми­ны раз­ворачи­вают сер­висы, а DevOps-инже­неры стро­ят инфраструк­туру. Из‑за это­го кажет­ся, что кон­тей­неры — тех­нология, которая появи­лась вмес­те с Docker. На самом деле это не так.

Се­год­ня пос­мотрим, как соб­рать минималь­ную сис­тему Linux с нуля, узна­ем, почему chroot — это еще не кон­тей­нер, выяс­ним, как работа­ют namespaces и как огра­ничи­вать ресур­сы через cgroups. Все это вмес­те поз­волит нам под­готовить свой кон­тей­нер средс­тва­ми сис­темы, а заод­но узнать, как кон­крет­но устро­ена кон­тей­нериза­ция.

Что внутри

Преж­де чем занять­ся кон­тей­нером, раз­берем­ся, из каких механиз­мов он сос­тоит. Хорошая новость: поч­ти всё уже есть в Linux — нуж­но толь­ко научить­ся этим поль­зовать­ся.

В нашем «конс­трук­торе кон­тей­нера» будут три глав­ных механиз­ма:

• namespaces — изо­лиру­ют про­цес­сы и окру­жение;
• chroot — изо­лиру­ет фай­ловую сис­тему;
• cgroups — огра­ничи­вают ресур­сы.

Каж­дый из этих механиз­мов мож­но про­бовать хоть пря­мо сей­час. Но нач­нем по поряд­ку.

Строим изолированную файловую систему с нуля

Да­вай поп­робу­ем сде­лать то, что за нас обыч­но дела­ет кон­тей­нер­ная плат­форма: соз­дадим отдель­ную фай­ловую сис­тему кон­тей­нера. Нач­нем с пус­того катало­га и пос­тепен­но прев­ратим его в минималь­ную сре­ду Linux.

Для изо­ляции фай­ловой сис­темы исполь­зуем механизм chroot. Он меня­ет кор­невой каталог про­цес­са: ука­зыва­ет сис­теме, что дру­гая пап­ка теперь корень /.

Шаг 1. Создаем пустую систему

Сна­чала соз­дадим каталог, который ста­нет кор­нем будущей сис­темы:

Пос­мотрим, что внут­ри:

Ка­талог пуст. Сей­час это обыч­ная пап­ка, но имен­но здесь будет фай­ловая сис­тема нашего будуще­го кон­тей­нера.

Шаг 2. Пытаемся войти в систему

Поп­робу­ем запус­тить chroot:

Ви­дим ожи­даемую ошиб­ку:

Ло­гич­но: внут­ри xakep нет даже шел­ла. Для про­цес­са в chroot эта пап­ка — корень сис­темы, поэто­му он ищет /bin/bash имен­но там.

Шаг 3. Добавляем первую программу

Соз­дай каталог bin и ско­пируй туда bash:

Поп­робу­ем сно­ва:

Ошиб­ка никуда не делась: боль­шинс­тво прог­рамм для Linux исполь­зуют ди­нами­чес­кие биб­лиоте­ки, а их сей­час нет.

Шаг 4. Проверяем зависимости

Пос­мотреть, какие биб­лиоте­ки нуж­ны bash, мож­но так:

Ко­ман­да ldd показы­вает, какие динами­чес­кие биб­лиоте­ки нуж­ны прог­рамме для запус­ка; здесь она помога­ет понять, какие фай­лы понадо­бят­ся для нашего минималь­ного rootfs.