设为首页收藏本站

LUPA开源社区

 找回密码
 注册
文章 帖子 博客
LUPA开源社区 首页 业界资讯 技术文摘 查看内容

CoreOS那些事之Rkt容器尝鲜

2015-7-1 21:15| 发布者: joejoe0332| 查看: 2345| 评论: 0|原作者: 林帆|来自: infoq

摘要: 从CoreOS发布Rocket应用容器项目到现在,已经过去半年时间了。为了增加辨识度,项目更名为了Rkt。在沉寂了许久后,最近又开始在社区里出现了一些新鲜的声音。 ...

从CoreOS发布Rocket应用容器项目到现在,已经过去半年时间了。为了增加辨识度,项目更名为了Rkt。在沉寂了许久后,最近又开始在社区里出现了一些新鲜的声音。

首先是4月7日的一条新闻,Google领头投资CoreOS公司1200万美元以共同合作发展旗下的Kubernetes组件。此次合作除了促成新的商业发行版Tectonic的诞生,也使得Rkt容器与Kubernetes的关系拉近了一步:Kubernetes将提供对Rkt的友好支持,而Rkt则将沿用Kubernetes的Pods等概念来规划容器。

随后的4月20日,VMWare发布了旗下的通过容器部署应用的开源操作系统发行版:Photon。这个项目比较闪亮的地方在于,除了最知名的Docker容器,Photon还支持另外两种容器标准:CloudFoundry旗下的Garden,以及我们即将介绍的AppC/Rkt。CoreOS也在多篇博客中暗示VMWare其实以已经是AppC规范社区的一员。

就在5月4日的CoreOS Fest大会上,Linux大鳄红帽公司(Red Hat)联合谷歌(Google)、VMware和Apcera共同宣布,将大力支持AppC社区的发展。红帽和谷歌甚至确认将派出工程师协助维护AppC项目

一个还在Alpha阶段的项目获得如此高的关注,对于CoreOS公司确实是个好兆头。这个系列接下来的两篇里,将带大家走进Rkt容器和它所代表的AppC容器规范,且做抛砖引玉之用。

Rkt的前世今生

作为一个年轻的应用容器新秀,开源的Rkt并不是一个人在战斗,在它的背后支撑的是一支俨然有序的庞大社区力量。

 

诞生背景

Rkt项目最初的发起者是CoreOS公司。

CoreOS公司与其核心产品CoreOS操作系统是实至名归的最早一批Docker企业级用户,伴随着Docker从最初的0.1版本一直走到正式发布的1.0版本。起初两者相互促进,合作甚好。然而,随着Docker在容器界一家独大的趋势越来越明显,其周边的生态逐渐的从单纯的围绕构建容器化应用服务,发展成了自上而下的集群规范体系,甚至部分取代了操作系统的服务进程调度工作。这种臃肿而受Docker单方面控制的容器规范,是CoreOS系统所不待见的,他们想要一个更加开放而中立的容器标准。

2014年12月,CoreOS公布了自己的容器计划,并在几个月后结合社区中的容器实践,着手制定新的开放应用容器规范,Rkt则作为此规范中的一个具体实现而继续发展。

AppC标准应用容器规范

AppC的全称是“Application Container Specification(标准应用容器规范)”,这个规范的制定不是为了服务于特定的Linux系统环境,其初衷在于制定一组不依赖于具体平台、技术、操作系统和编程语言的容器虚拟化规范,解除已经初露端倪的企业容器产品互不兼容、各自封闭发展的危机,防止更多技术壁垒的产生。

正在制定中的AppC容器规范设计目标包括:

  • 组件式工具:用于下载、部署和运行虚拟容器环境的操作工具应该相互独立、互不依赖且可被替换。
  • 镜像安全性:镜像在因特网下载传输时应当使用加密协议,容器工具应当内置验证机制,以拒绝不安全来源的镜像。
  • 操作去中心化:镜像分发应该支持可扩展的传输协议,未来允许引入P2P,甚至BitTorrent协议来提升镜像分发效率,且容器使用前不应需要登录特定的镜像仓库。
  • 开放性标准:容器镜像的格式与元数据定义应该由社区设立统一协商制定,使得符合这一规范的不同容器产品能够共享镜像文件。

为了确保规范的开放并兼顾多方利益,CoreOS作为规范的倡导者、参与者和实施者,但并不会成为其唯一的制定者。

目前已经在遵循AppC的开源应用容器除了Rkt,还有FreeDBSD平台的容器Jet Pack和Linux平台通过C++实现的容器Nose Cone。更好的通用性,更小的入侵性,以及更高的开放性,正是由于这些AppC规范的独具匠心,使得它在Docker如日中天之时,恰逢其时的给业界带来一阵清风,引发许多技术玩家和企业的驻足和思考。

Rkt容器使用尝鲜

且不论AppC的未来发展究竟会如何,远水不解近渴,既然Rkt容器本身是开源免费的,何不自己动手尝试一番。

作为开放式容器标准的样板项目,Rkt自然不会只能用在CoreOS的自家系统里。与Docker相似,Rkt虽然也被预装在了CoreOS系统中,但其他的任何Linux发行版都可以安装并使用它。在接下来的部分里,我们将以比较常见的64位Ubuntu系统为例,演示Rkt的安装和使用方法。

在64位Ubuntu中安装Rkt

事实上,在任何Intel架构的64位Linux中,安装Rkt都简单到极致。这得益于Golang语言原生的静态编译方式,几乎所有编译过的Golang程序都可以下载即运行,而不需要安装额外依赖。

从GitHub网站可以直接下载到打包好的Rkt的二进制文件,目前最新的版本是v0.5.4。Rkt只提供了64位的编译版本,虽然通过自行编译源代码的方式也能够得到32位的可执行文件,但在32位系统上运行Rkt是不被官方推荐和支持的。

wget https://github.com/coreos/rkt/releases/download/v0.5.4/rkt-v0.5.4.tar.gz

下载后得到一个压缩文件。然后,恩,解压它。

tar xzvf rkt-v0.5.4.tar.gz

将解压后得到的文件统统放到系统的可执行目录里面,安装就算完成了。

sudo cp rkt-v0.5.4/* /usr/local/bin/

接下来,试在命令行下执行不带任何参数的rkt version命令,可以看到程序返回了Rkt工具和AppC标准的版本信息,说明Rkt已经正确的安装了。

$ rkt version
rkt version 0.5.4
appc version 0.5.1+git

Rkt工具的组成

工欲善其事,必先利其器。在前面安装Rkt时,我们还没来得及多看一眼,就直接将解压后的文件一股脑儿丢进了系统目录里。这种部署方式虽然方便,但也实在简单粗暴。现在安装完了,至少还是得回头瞅瞅这个目录里到底提供了哪些东西。

不过,这一瞅简直让人失望,偌大一个压缩包,里面就这么俩文件。

$ ls rkt-v0.5.4
rkt  stage1.aci

第一个文件刚刚已经试过了,它是Rkt容器的主程序,所有操作容器的命令都会通过这个命令作为入口。而第二个文件是个非常巧妙的设计。首先它的aci后缀已经表明了它的身份,是一个标准的AppC镜像。如果将这个镜像解包就会看到里面包含的是一套完整的systemd运行环境,其实它的作用,是为Rkt提供了可替换的容器虚拟化实现组件。

Rkt容器默认是采用基于systemd-nspawn命令的机制来处理与内核cgroup和namespace相关操作的,而这个部分正是提供整个容器虚拟化能力的核心环节。Rkt通过将这部分的功能分离到一个可以快速外挂和替换的容器中,从而支持扩展其他的虚拟化实现方式(官方的举例是比如novmqemu-kvm),并能快速的在这些实现间切换使用。具体来说,只在运行容器时指定--stage1-image参数,设置成其他符合要求的虚拟化实现的镜像地址即可。

此外,AppC规范还提供了一套用于制作和转换“符合AppC容器标准的”镜像的工具,这部分内容将会在系列的下篇中进行详述。

权限与镜像签名

在目前阶段的Rkt还必须通过root用户来执行大多数的命令,不过未来也计划支持如Docker那样使用普通用户运行。在运行Rkt命令时如果出现“permission denied”的错误,请检查是否忘记了sudo。

使用Docker的用户,大多比较习惯在网上随便找到一个镜像地址,就直接pull下来使用。因此,即便Docker官方发现了一些恶意镜像的发布者,也无法有效的阻止这些镜像在网络的传播。

AppC规范中,特别强调了镜像的安全性。为此,在默认情况下,所有镜像在下载和运行前,都必须明确的添加镜像发布者的签名信任,以确保镜像的来源不会被伪造。下面的命令将从官方仓库中获取前缀为“coreos.com/etcd”的签名信息,并添加到本地信任列表中。

$ sudo rkt trust --prefix coreos.com/etcd
Prefix: "coreos.com/etcd"
Key: "https://coreos.com/dist/pubkeys/aci-pubkeys.gpg"
GPG key fingerprint is: 8B86 DE38 890D DB72 9186  7B02 5210 BD88 8818 2190
  CoreOS ACI Builder 
Are you sure you want to trust this key (yes/no)? yes <--输入"yes"回车
Trusting "https://coreos.com/dist/pubkeys/aci-pubkeys.gpg" for prefix "coreos.com/etcd".
Added key for prefix "coreos.com/etcd" at "/etc/rkt/trustedkeys/prefix.d/coreos.com/etcd/8b86de38890ddb7291867b025210bd8888182190"

在命令输出的最后一行,Rkt显示了签名在本地保存的位置。查看文件的内容就会发现,这个签名实际上是一个标准的GunPG签名公钥。GunPG是著名RSA非对称加密算法PGP的开源实现,关于PGP算法的介绍可以参考这篇百度百科。

$ cat /etc/rkt/trustedkeys/prefix.d/coreos.com/etcd/8b86de38890ddb7291867b025210bd8888182190
-----BEGIN PGP PUBLIC KEY BLOCK-----
Version: GnuPG v1
mQINBFTCnMQBEAC/49bGbStCpa3peej+/42mobfuGbTcdmcGGwYZmigP0Kl0TPZK
... 省略部分输出 ...
fMkBtaM3knaFonHZc19BD1FOishRThCCq2Ty8HUoN2Fk7w0l
=bYl7
-----END PGP PUBLIC KEY BLOCK-----

获取远程镜像

通过rkt fetch命令可以获取远程的镜像,和Docker的pull命令类似。下面这个命令会从CoreOS的GitHub仓库中下载预装了Etcd的示例容器。

$ sudo rkt fetch coreos.com/etcd:v2.0.9
rkt: searching for app image coreos.com/etcd:v2.0.9
rkt: fetching image from https://github.com/coreos/etcd/releases/download/v2.0.9/etcd-v2.0.9-linux-amd64.aci
Downloading signature from https://github.com/coreos/etcd/releases/download/v2.0.9/etcd-v2.0.9-linux-amd64.aci.asc
Downloading ACI: [=============================================] 3.79 MB/3.79 MB
rkt: signature verified:
  CoreOS ACI Builder 
sha512-91e98d7f1679a097c878203c9659f2a2

值得一提的是,如果用户在上一步中没有添加签名信任,则镜像在下载完成后会由于无法正确的验证来源,而被直接丢弃(不会进入Rkt的本地仓库)。并提示镜像没有签名,或镜像的签名没有被信任。

$ sudo rkt fetch coreos.com/etcd:v2.0.9
...
Downloading ACI: [=============================================] 3.79 MB/3.79 MB
openpgp: signature made by unknown entity

有的时候,用户确实希望下载或导入一个没有签名认证的镜像。可以明确的使用--insecure-skip-verify参数来告诉Rkt不要验证镜像的来源。

$ sudo rkt --insecure-skip-verify fetch coreos.com/etcd:v2.0.9
rkt: searching for app image coreos.com/etcd:v2.0.9
rkt: fetching image from https://github.com/coreos/etcd/releases/download/v2.0.9/etcd-v2.0.9-linux-amd64.aci
Downloading ACI: [=============================================] 3.79 MB/3.79 MB
sha512-91e98d7f1679a097c878203c9659f2a2

下载完成的镜像会被存储在本地的/var/lib/rkt/cas/blob/sha512/仓库目录中,具体的命名规则是将镜像SHA512哈希值的前两位作为目录名,并以完成的SHA512哈希值作为镜像的文件名。例如刚刚下载的Etcd镜像哈希值为:sha512-91e98d7f1679a097c878203c9659f2a2,它存储的路径如下:

$ tree /var/lib/rkt/cas/blob/sha512/
/var/lib/rkt/cas/blob/sha512/
└── 91
    └── sha512-91e98d7f1679a097c878203c9659f2a26ae394656b3147963324c61fa3832f15

目前Rkt还没有提供一个命令能够快速列出本地仓库里所有镜像名字的方法。这看起来是一个比较匪夷所思的缺失功能。

运行容器

运行Rkt容器的命令是rkt run,可以通过几种方式指定容器使用的镜像。

最常用,也是最方便的方法是使用标准的镜像的命名。比如例子中的coreos.com/etcd:v2.0.9名称:

$ sudo rkt run coreos.com/etcd:v2.0.9
rkt: searching for app image coreos.com/etcd:v2.0.9
rkt: fetching image from https://github.com/coreos/etcd/releases/download/v2.0.9/etcd-v2.0.9-linux-amd64.aci
...
Press ^] three times to kill container

也可以直接使用镜像的哈希值指定:

$ sudo rkt run sha512-91e98d7f1679a097c878203c9659f2a26ae394656b3147963324c61fa3832f15
...
Press ^] three times to kill container

或者直接指定镜像文件的完整地址,这个地址可以是本地文件,也可以是网络文件,比如这样:

$ sudo rkt run https://github.com/coreos/etcd/releases/download/v2.0.9/etcd-v2.0.9-linux-amd64.aci
rkt: fetching image from https://github.com/coreos/etcd/releases/download/v2.0.9/etcd-v2.0.9-linux-amd64.aci
...
Press ^] three times to kill container

使用时可以根据具体情况,哪种方便就用哪种。容器启动后就会自动运行镜像制作时指定的入口程序,连续按Ctrl+]组合键3次则会退出当前容器。

通过--help参数可以显示rkt run命令的可用选项。

$ sudo rkt run --help
Usage:
  -inherit-env=false: inherit all environment variables not set by apps
  -interactive=false: run pod interactively
  -local=false: use only local images (do not discover or download from remote URLs)
  -no-overlay=false: disable overlay filesystem
  -pod-manifest="": the path to the pod manifest. If it's non-empty, then only '--private-net', '--no-overlay' and '--interactive' will have effects
  -port=: ports to expose on the host (requires --private-net)
  -private-net=false: give pod a private network
  -set-env=: an environment variable to set for apps in the form name=value
  -signature=: local signature file to use in validating the preceding image
  -stage1-image="/usr/local/bin/stage1.aci": image to use as stage1. Local paths and http/https URLs are supported. If empty, rkt will look for a file called "stage1.aci" in the same directory as rkt itself
  -volume=: volumes to mount into the pod

比较常用的选项有:

  • --volume外挂分区,类似于Docker的-v参数
  • --port暴露容器中的端口,类似于Docker的-p参数
  • --interactive启用交互模式,类似于Docker的-i加上-t参数的效果
  • --set-env向容器里添加环境变量,类似于Docker的-e参数

对于经常在使用Docker的用户,有两点值得注意的Rkt与Docker运行镜像时不同的地方:

  • 目前还没有与Docker的-d参数相当的运行选项,要后台运行镜像先将就用nohup&吧。
  • 在任意容器中连续按Ctrl+]组合键3次,都会结束当前容器,不论是否启用了交互模式。

导入本地镜像文件

Rkt导入本地镜像的命令和下载远程镜像是一样的,同样使用rkt fetch。需要留意的是,即便是导入本地镜像,Rkt仍然会强制验证签名(除非指定--insecure-skip-verify参数)。

$ wget https://github.com/coreos/etcd/releases/download/v2.0.9/etcd-v2.0.9-linux-amd64.aci
...
aving to: ‘etcd-v2.0.9-linux-amd64.aci’
100%[=================================>] 3,788,138   1.00MB/s   in 5.1s
‘etcd-v2.0.9-linux-amd64.aci’ saved [3788138/3788138]
$ sudo rkt run etcd-v2.0.9-linux-amd64.aci
error opening signature file: open /home/ubuntu/etcd-v2.0.9-linux-amd64.aci.asc: no such file or directory

默认的签名文件应该和镜像在同一目录下,并且文件名应为镜像名加后缀.asc。如果签名文件的位置或名字与此规范不符,则可以用--signature指定。例如:

sudo rkt run image.aci --signature sign.asc

下载Docker仓库的镜像

Rkt支持直接下载Docker镜像,并自动转换为AppC镜像。这一设计在Docker基础资源如此丰富的当下,真的是很贴心。操作起来也非常简单,只需要在Docker的标准镜像路径前面加上docker://前缀即可。

不过,颇具讽刺意味的是,由于Docker镜像本来是没有签名验证机制的,因此下载任何Docker镜像时,都必须使用--insecure-skip-verify参数。仿佛时刻在提醒用户:这个镜像可能是不安全的!

例如,下载Docker官方仓库的CentOS镜像:

$ sudo rkt --insecure-skip-verify fetch docker://centos
rkt: fetching image from docker://centos
Downloading layer: 6941bfcbbfca7f4f48becd38f2639157042b5cf9ab8c080f1d8b6d047380ecfc
Downloading layer: 41459f052977938b824dd011e1f2bec2cb4d133dfc7e1aa0e90f7c5d337ca9c4
Downloading layer: fd44297e2ddb050ec4fa9752b7a4e3a8439061991886e2091e7c1f007c906d75
sha512-94b712e21c2f88aebcbe67b7e97911c9

直接通过哈希值试运行容器,注意加上--interactive选项:

$ sudo rkt run --interactive sha512-94b712e21c2f88aebcbe67b7e97911c9ed3be062f976cefcebed8baab826ed32
[root@rkt-0ff47941-3934-4dcd-9b9d-3db558f62cd9 /]#

同样的,按三下Ctrl+]则会退出容器。

对于需要登录的Docker仓库,Rkt也提供了下载镜像的解决办法。首先需要在/etc/rkt/auth.d/目录下添加一个用户名命名的配置文件。

$ sudo cat /etc/rkt/auth.d/myuser.json 
{
    "rktKind": "dockerAuth",
    "rktVersion": "v1",
    "registries": ["quay.io"],
    "credentials": {
        "user": "myuser",
        "password": "sekr3tstuff"
    }
}

然后就可以执行fetch了。很方便有木有。

$ sudo rkt --insecure-skip-verify fetch docker://quay.io/myuser/privateapp
rkt: fetching image from docker://quay.io/myuser/privateapp
Downloading layer: cf2616975b4a3cba083ca99bc3f0bf25f5f528c3c52be1596b30f60b0b1c37ff
Downloading layer: 6ce2e90b0bc7224de3db1f0d646fe8e2c4dd37f1793928287f6074bc451a57ea
....

更多功能

通过rkt help命令可以查看到Rkt的更多操作和参数,其中的一些功能还在开发中,具体的进度可以查阅官方文档

$ rkt help
...
COMMANDS:
    enter           Enter the namespaces of an app within a rkt pod
    fetch           Fetch image(s) and store them in the local cache
    gc          Garbage-collect rkt pods no longer in use
    help            Show a list of commands or help for one command
    install         Set up rkt data directories with correct permissions
    list            List pods
    metadata-service    Run metadata service
    prepare         Prepare to run image(s) in a pod in rkt
    run         Run image(s) in a pod in rkt
    run-prepared        Run a prepared application pod in rkt
    status          Check the status of a rkt pod
    trust           Trust a key for image verification
    version         Print the version and exit
GLOBAL OPTIONS:
    --debug=false           Print out more debug information to stderr
    --dir=/var/lib/rkt      rkt data directory
    --help=false            Print usage information and exit
    --insecure-skip-verify=false    skip image or key verification
    --local-config=/etc/rkt     local configuration directory
    --system-config=/usr/lib/rkt    system configuration directory

2015年是各种容器技术与名词扎堆的一年,Docker的出现使得“应用容器”的实施变得易如反掌的同时,也带动了它的许多竞争者。其中一个比较有趣的看点就在于“容器规范”的较量,最近红帽和英特尔也按捺不住,拿出自家的产品趁势搅局。

5月14日,红帽宣布了新的多容器应用规范Nulecule(DockOne翻译了这篇新闻),同时推出符合这个规范的一个实现:AtomicApp。(这个路子怎么看都有点像AppC和Rkt采用的模式)

因特尔则是发挥自家的特长,在5月18日,发布了介于虚拟机与容器之间的跨界产品ClearLinux(DockOne同样翻译了这篇新闻)。之所以特别要提这个项目,是因为它首先会实现基于Rkt/AppC规范的容器模型,而将Docker放在了其次的位置。

“容器规范”的概念,看起来让人有些摸不着头脑,但在容器业界中,它确实是颇具诱惑力的一块蛋糕。在这一篇里,我们就来聊一聊支撑Rkt背后的那个“容器规范”:AppC Spec。

AppC规范究竟约定了什么

使用了开源软件的人,未必都会有心情仔细阅读各种开源协议的内容。大多数的使用容器产品用户,也不见得要对容器规范的内容有很高的兴致。

不过,为了更好的理解后面将要介绍到的相关工具,还是不妨稍微深入的了解一些AppC规范约定的内容。其内容归纳起来主要有四个方面,下面依次罗列出来,并与当下的主流容器Docker做一个简要的对比。

PS:严格来说,AppC与AppC Spec两个词是有区别的。前者指的是CoreOS的App Container这个项目,包括规范和相关的工具,而后者特指AppC中约定的容器规范。但在许多地方,特别是翻译的文章中,经常看到这两个词被混用,因此一般也不必太讲究了。

1.容器的镜像格式

本质上说,容器 镜像就是符合特定目录结构的文件压缩包。镜像中的内容在容器启动后被展开,然后复制到一个独立的namespace空间内,并通过cgroup限制容器能 够使用的系统资源。稍后在制作镜像时,会详细介绍AppC Spec规定的镜像目录结构。这里只先指出一点,AppC的镜像没有支持像Docker那样的分层结构,这种设计简化了容器运行时的一些操作,但带来的弊 端也是很明显的:无法复用镜像相同的部分。因此在磁盘空间的利用上造成了浪费,也增加了容器镜像在网络传输成本。

除了目录的结 构,镜像还需要一个描述镜像内容的文件,称为“镜像属性清单文件(Image Manifest)”,其中定义的内容包括:镜像的作者信息、容器暴露的端口、暴露的挂载点、所需的系统资源(CPU/内存)等。此外,AppC Spec的约定的属性清单中,还会包含许多编排调度所需的信息,例如容器运行所依赖的其他容器、容器的标签。

在这方面来说,AppC镜像的信息量远远多于Docker镜像。相当于囊括了Docker镜像本身、Compose编排配置以及一部分Docker运行参数的内容。

此外,AppC规范也约定的镜像ID和签名的生成方法,关于镜像ID和签名的作用和在Rkt文章上篇中已经介绍过,稍后还会详细介绍镜像签名的生成方法。

2.镜像的分发协议

分发协议主要是约定镜像下载使用的协议类型和URL的样式。AppC的镜像URL采用类似Docker的domain.com/image-name这样的格式,但其实际处理方式有些不同。此外,在没有指定域名时,Docker会默认在官方的DockerHub寻找镜像,AppC的镜像没有所谓“官方源”,因此也没有这样的规则。

Rkt/AppC目前支持以下几种URL格式:

  • <域名>/<镜像名>
  • <本地文件路径>
  • https://<完整网络路径>
  • http://<完整网络路径>
  • docker://<与Docker一样的镜像URL>

第一种方式是AppC推荐的镜像分发URL,这种方式有点像Docker Repository,但实际上只是HTTPS协议的简写方式。AppC会根据指导的域名和路径依照约定的方式转换为完整URL地址,然后下载指定的镜像。

第二种方式相当于导入本地镜像。值得一提的是,即便使用本地镜像,AppC同样要求镜像有签名认证,关于签名文件的细节在后面的内容里会详细讨论。

第三种和第四种方式都是直接通过完整URL获取镜像,规范中并不推荐直接这样使用裸的HTTPS的URL,因为这种命名过于随意的镜像地址不利于镜像的管理和统一,特别是HTTP协议的URL更只应该在内网的环境中出现。

第五种方式不是AppC规范支持的协议类型,目前只是Rkt支持这种协议(本质上还是HTTP或HTTPS)。兼容Docker镜像的URL,只需要在前面加上docker://即可,下载后会自动转换为AppC镜像格式。由于Docker的镜像仓库不支持签名认证,使用这种URL时,用户需要显示的加上参数--insecure-skip-verify允许使用未认证的镜像来源。

3.容器的编排结构

AppC规范中的容器编排和集群描述方式与Kubernetes十分相似,采用“容器组属性清单文件(Pod Manifest)”描述。其中沿用了Kubernetes中诸如Podslabels等用于在集群中进行调度策略的规划和管理的概念。

Pods直译便是“豆荚”,它指的是由一系列相互关联的容器组成的,能够对外提供独立服务功能的容器集合。例如将用于数据收集功能的容器、用于缓存服务的容器以及用于搜索服务的容器组合在一起,作为一个Pod提供完整的数据查询服务暴露给外部用户。Pod可以作为容器参与集群调度的单独集合提供给集群管理器,在例如Kubernetes这样的集群管理模型中,Pod实际上就是进行服务跨节点调度的最小单位。

labels用于标示具有同一类特性的容器,为容器的过滤和选择提供了十分灵活的策略。许多的集群管理器都能够在调度时利用选择指定标签对Pods进行筛选。

考虑到CoreOS公司与谷歌共同合作的背景(已经推出了Tectonic CaaS平台),这样的设计为Kubernetes未来与符合AppC规范的容器进行深度集成提供了良好的技术基础。

4.容器的执行器

执行器,也就像是Rkt这样的容器工具。这个部分规范了设计符合AppC Spec的容器执行器所需要遵循的原则和应该具备的功能。

例如,必须为每个容器提供唯一的UUID;在容器的运行上下文中必须至少提供一个本地Loopback网卡,以及0个至多个其他TCP/IP网卡;应该将容器中程序打印到Stdout和Stderr的日志进行收集和展示等细节。

其中还详细约定了,对于镜像属性清单中的诸多属性,执行器应当如何进行处理。这些内容对大部分的使用者而言都只能作为参考,还是需要以具体实现的容器产品文档为准。

镜像工具

在AppC的项目中,除了一纸洋洋洒洒的规范文书以外,还提供了不少AppC镜像相关的示范工具。不像Docker这种一个命令集成所有功能的玩法,这些工具中的每个只是关注于容器的某个方面功能。例如通用类型镜像的制作、打包、格式转换以及特定类型镜像的制作等。

目前已有的工具主要包括:

  • Actool - 用于镜像的构建和验证
  • Docker2Aci - 用于将Docker导出的镜像转换为AppC镜像
  • Goaci - 用于Golang语言的项目一键打包和构建镜像的工具
  • Acbuild - 通过指令的方式构建镜像

其中,ActoolAcbuild都是用于镜像构建的工具,它们的区别类似于通过docker commit和Dockerfile两种方式构建镜像。需要指出的是,前不久才刚刚建立的Acbuild项目,现在还只是一个计划,没有发布任何实际可用的版本,其目的是替代之前的另一个项目baci。后者已经无法使用并且不再继续更新。

Goaci的作用是获取指定路径的项目,进行自动编译,然后把编译后的可执行程序制作成一个镜像,所有的这些操作只需要一条命令就可以完成:goaci <项目路径>,项目路径支持所有go get命令所支持的代码托管网站,包括BitBucket、GitHub、Google Code和Launchpad等。不过,它只能用于使用Golang语言并托管在上述网站中的开源项目。不具有普遍的适用性。

下面将重点介绍ActoolDocker2Aci这两个工具。为了方便非CoreOS系统用户尝鲜,也会介绍在这些工具在其他64位Linux发行版的安装方法。

镜像的制作

与镜像制作相关的工具是Actool,这个软件已经预装在CoreOS系统较新的版本上了,可以通过actool --help命令验证并获得Actool的版本。其他64位Linux的用户可以通过下面的命令安装它:

wget https://github.com/AppC/spec/releases/download/v0.5.2/AppC-v0.5.2.tar.gz
tar zxf AppC-v0.5.2.tar.gz
sudo mv AppC-v0.5.2/actool /usr/local/bin/

说到构建镜像,前面已经提到,新的命令式构建镜像的工具Acbuild目前还没有发布任何可用版本。因此当下的情况是,构建AppC镜像还只能手工创建镜像属性清单文件,拷贝容器中所需的文件,然后直接打包生成镜像。索性,这样创建镜像除了失去诸如“基础设施即代码”的好处以外,并没有多少值得非议的地方,构建流程本身并不复杂。

下面来制作一个十分朴素的AppC容器镜像,这个镜像中只包含一个可执行文件。

首先新建一个用于制作镜像的工作目录,例如AppC-image

>mkdir AppC-image

接下来,为了让这个例子足够简单,我们需要一个能够不依赖任何外部动态库或运行时环境,能够单独运行的程序。我们写一个C语言的“Hello World”吧。新建一个叫hello.c的文件,内容如下:

#include <stdio.h>
int main(int argc, char* argv[])
{
    printf("Hello AppC\n"); //随便输出点什么东西
    return 0;
}

然后,需要一个C语言编译器,有些Linux系统已经自带了这个东西,用gcc --version命令可以验证。如果没有安装,那么...大家看着办吧,比如在Ubuntu系统下面可以通过apt-get来获取:

sudo apt-get install gcc

CoreOS系统会稍微麻烦一点,需要借助一个额外的容器来完成。提示一下,Docker有一个官方的C/C++语言运行环境镜像,就叫gcc。可以docker pull gcc或者rkt --insecure-skip-verify fetch docker://gcc来获取它,然后启动一个容器,注意需要映射一个Volumn到主机上,方便编译完成后将生成的可执行程序拷贝出来。

编译的命令如下,其中的--static参数是必须的,否则编译出来的程序在执行时会需要依赖外部的动态库:

gcc --static -o hello hello.c

在刚刚工作目录里面新建一个叫rootfs的目录,将编译生成的hello可执行文件拷贝进去。这个rootfs目录中的内容就是以后容器里所包含的文件内容了,因此建议在其中再建立一些标准的目录结构,例如/bin目录,将可执行程序放到这个目录里面。

mkdir -p AppC-image/rootfs/bin
cp hello AppC-image/rootfs/bin/

现在镜像的目录结构已经成型了。下面就可以开始创建镜像的属性清单文件了,在工作目录中新建一个名为manifest的文件,内容如下:

{
    "acKind": "ImageManifest",
    "acVersion": "0.5.2",
    "name": "my-app",
    "labels": [
        {"name": "os", "value": "linux"},
        {"name": "arch", "value": "amd64"}
    ],
    "app": {
        "exec": [
            "/bin/hello"
        ],
        "user": "0",
        "group": "0"
    }
}

此时,工作目录里的文件结构应该是这样的:

AppC-image
├── manifest
└── rootfs
    └── bin
        └── hello

最后就可以用actool命令构建镜像了:

actool build AppC-image hello.aci

镜像的验证

容器镜像的来源无非有两种:本地的或者远程的。

因此对镜像的验证也就包含两部分内容。

  • 检验本地的文件是否符合AppC规范的镜像
  • 检验远程的URL是否是有效的AppC镜像地址

对于前一种情况,前面说过,容器镜像其实就是符合一定标准结构的打包文件。

$ file hello.aci
hello.aci: gzip compressed data

在AppC规范中,镜像文件的后缀名应该是.aci,但具有这个后缀名的打包文件未必就是正确的镜像。因此需要一个方法来验证镜像文件的正确性,相应的命令是actool validate

直接执行这个命令时,actool只会通过命令的返回值表示验证的结果,返回0表示验证通过:

$ actool validate hello.aci
$ echo $?
0

可以加上-debug参数让actool直接将结果打印在控制台上:

$ actool -debug validate hello.aci
hello.aci: valid app container image

对于后一种情况,URL的验证,同样可以通过actool工具完成,相应的命令是actool discover

这个命令会返回镜像的实际下载地址:

$ actool discover coreos.com/etcd
ACI: https://github.com/coreos/etcd/releases/download/latest/etcd
-latest-linux-amd64.aci, ASC: https://github.com/coreos/etcd
/releases/download/latest/etcd-latest-linux-amd64.aci.asc
Keys: https://coreos.com/dist/pubkeys/aci-pubkeys.gpg

试一下在Rkt里面用过的Docker镜像地址,会发现这个地址是无效的。

$ actool discover docker://ubuntu
error fetching docker://ubuntu: Get https://docker?ac-discovery=1: 
dial tcp: lookup docker: no such host

这也证实了在前面说的,docker://这种协议只是Rkt额外支持的镜像获取方式,并不是AppC的规范中的标准协议。

镜像的转换

AppC的规范制定者们显然很清楚,哪些轮子该重造,哪些轮子是可以直接复用的。在Docker的各种镜像已然是铺天盖地的当下,一个新的容器工具想要最快积累镜像数量,最好的办法就是兼容Docker镜像或者将Docker的镜像进行转换。

其实对于镜像兼容这个问题,新标准们有各自不同的做法,红帽的Nulecule选择了支持Dockerfile格式,只需要把已有的镜像代码加上一些额外的配置文件,重新构建一次就可以。而AppC做过同样的尝试,(之前有个baci项目就是干这个的,不过已经没有更新了),效果上有些不伦不类,因此索性更干脆,提供个工具允许将任何的Docker镜像导出后直接转换成自己的镜像格式。

下面就来说说从Docker到AppC镜像的转换,相应的工具是Docker2Aci

这个工具不论是 在Ubuntu或者CoreOS上都没有预装,因此需要单独安装。这个工具还没有正式发布,因此官方也没有提供编译好的二进制包,要获得它只能从源代码编 译。值得庆幸的是,Golang语言的编译方式还是比较友好的,如果本地已经安装了Golang语言的开发环境,可以直接通过go get github.com/AppC/docker2aci命令完成整个下载和编译的过程。

考虑到大多数用户都是没有Golang开发环境的,另一个比较简单的办法是:通过容器。因为,Docker官方已经提供了一个用于Golang开发的容器镜像,名字就叫golang。用下面一条命令就可以搞定编译。

sudo docker run -v $(pwd):/pkg -i -t golang:1.4 /bin/bash -c "go 
get github.com/AppC/docker2aci; cp \$GOPATH/bin/docker2aci /pkg/"

编译好的docker2aci二进制文件会被拷贝到当前目录,将它放到系统变量PATH所指的的任意目录中即可,比如:

sudo mv docker2aci /usr/local/bin/

执行docker2aci --version命令可以打印出软件的使用帮助,证明已经成功安装。

$ docker2aci
Usage of docker2aci:
docker2aci [--debug] [--nosquash] IMAGE
  Where IMAGE is
    [--image=IMAGE_NAME[:TAG]] FILEPATH
  or
    docker://[REGISTRYURL/]IMAGE_NAME[:TAG]
Flags:
  -debug=false: Enables debug messages
  -image="": When converting a local file, it selects a particular image to convert. Format: IMAGE_NAME[:TAG]
  -nosquash=false: Don't squash layers and output every layer as ACI

将一个Docker镜像导出,然后可以通过docker2aci命令转换成AppC镜像。

$ docker pull ubuntu
$ docker save -o ubuntu.docker ubuntu
$ ./docker2aci ubuntu.docker
... ...
Generated ACI(s):
ubuntu-latest.aci

转换后的镜像会保存在当前目录,并自动用“<镜像>-<标签>”的格式命名。

此外,比较实用的是,docker2aci同样支持docker://协议的URL直接获取网上的镜像。

$ docker2aci docker://busybox
... ...
Generated ACI(s):
busybox-latest.aci

镜像的签名

这个时候,如果直接用Rkt运行刚刚创建的hello.aci镜像,会发现Rkt提示由于找不到有效的签名文件,因此拒绝运行这个镜像。

$ sudo rkt run hello.aci
error opening signature file: open /home/core/hello.aci.asc: no such file or directory

镜像的签名,是 AppC引入的一种镜像来源验证机制,本质上是利用非对称加密的标准数字签名。通过将镜像提供者的私钥和镜像文件本身加密生产一组签名字符串,通过发布者 提供的公钥就能够解开这串字符并得到与镜像匹配的信息,这样就能验证镜像是否是真的来自特定的作者或来源。

AppC的签名算法是标准是RSA,采用的是开源的GPG实现,关于GPG的详细介绍参考这篇文章。

首先准备一个密钥配置文件,命名为gpg-batch,内容如下:

%echo Generating a default key
Key-Type: RSA 
Key-Length: 2048
Subkey-Type: RSA 

Subkey-Length: 2048
Name-Real: 你的英文名字
Name-Email: 你的邮箱地址
Name-Comment: ACI signing key
Expire-Date: 0
Passphrase: 签名时的密码
%pubring rkt.pub
%secring rkt.sec
%commit
%echo done

然后用下面的命令生成一个密钥对:

gpg --batch --gen-key gpg-batch

执行完成后,在目录中会多出rkt.secrkt.pub两个文件,这就是私钥和公钥了。

然后就可以使用这对密钥给镜像签名了:

gpg --no-default-keyring --armor --secret-keyring ./rkt.sec 
--keyring ./rkt.pub --output hello.aci.asc --detach-sig hello.aci

在提示输入密码时,输入在gpg-batch中设置的密码。然后就获得了hello.aci镜像的签名文件hello.aci.asc

再次尝试运行容器:

$ sudo rkt run hello.aci
openpgp: signature made by unknown entity

这次提示的错误是,签名文件虽然找到了,但是这个签名的来源并没有在信任列表中。为了将签名添加到信任里面里面,首先要用rkt.secrkt.pub这两个二进制的密钥文件导出为一个文本的公钥文件。

gpg --no-default-keyring --armor --secret-keyring ./rkt.sec 
--keyring ./rkt.pub --export 在gpg-batch中的邮箱 > pubkeys.gpg

然后将这个文本文件中的公钥添加到Rkt的信任列表中。

$ sudo rkt trust --root pubkeys.gpg
Prefix: ""
Key: "pubkeys.gpg"
GPG key fingerprint is: 37E2 6071 5382 5868 5A0D  1356 98A9 5E24 6E19 7AED
    Subkey fingerprint: 46AF 81E4 77D4 BFCA DFCE  73C6 3D94 79C2 2611 F243
    Kelsey Hightower (ACI signing key) 
Are you sure you want to trust this key (yes/no)? yes
Trusting "pubkeys.gpg" for prefix "".
Added root key at "/etc/rkt/trustedkeys/root.d/37e26071538258685a0d135698a95e246e197aed"

这次运行容器,就可以看到容器中的Hello程序已经正确的执行了。

$ sudo rkt run hello.aci
rkt: signature verified:
  Kelsey Hightower (ACI signing key) <kelsey.hightower@coreos.com>
Hello AppC

镜像的仓库

最后简单的介绍一下AppC的镜像仓库(Image Repository)。

AppC规范定义了获取镜像的URL,其形式大致是域名/镜像路径:版本,例如CoreOS提供的包含Etcd的镜像可以通过命令rkt fetch coreos.com/etcd:v2.0.9来获取。

这里只说两个比较有意思的地方。

首先,AppC是没有所谓“官方镜像仓库”的,所以URL中的域名部分始终会存在。由CoreOS公司提供的镜像被放在coreos.com域名下的普通仓库中。这一点也符合AppC标准开放化的初衷。

其次,AppC会对用户的URL尝试通过两种方式解析。换句话说,镜像仓库的实现方式可以有两种。第一种几乎不需要额外的配置工作,将镜像依照一定的命名规则放在域名的相应路径下即可,例如coreos.com/etcd:v2.0.9,如果使用第一种方式建仓库,相应的镜像就应该保存在https://coreos.com/etcd-v2.0.9-linux-amd64.aci(当然,CoreOS的镜像实际上是用的第二种方式,所以这个路径不存在)。第二种方式更加灵活,但需要额外的程序来处理镜像地址的映射,具体过程,不再详述。

此外,前面介绍过,对于内网环境,还可以直接使用HTTP路径获取镜像。举个栗子,把之前制作好的镜像文件hello.aci和签名文件hello.aci.asc放到一个目录里面,然后在这个目录中启动一个简易的HTTP服务:

$ python -m SimpleHTTPServer
Serving HTTP on 0.0.0.0 port 8000 ...

在任意另一个主机上就可以直接使用HTTP全路径下载镜像了。

$ sudo rkt fetch http://<服务器IP>:8000/hello.aci
... ...
Downloading ACI: [        ] 1.26 KB/358 KB
sha512-f7a2feff02a07ed7c604c14133b7aede

这种简单粗暴到 无以复加的方式,对于懒人们也许算得上是一种福利,然而不论是从安全性还是镜像版本的可管理性上看来,其能力都相当弱。这从一个侧面说明,一些为开发者们 提供的便利通道,如果没有规范的约束,可能带来很大的隐患。在实际运用时,建议遵循AppC的URL解析规范设计仓库为上策。

小结

与处于 Alpha开发期的Rkt一样,AppC项目距离最终的成熟还有很长的路要走。然而随着谷歌、VMWare和因特尔等互联网公司的加入,他们旗下的产品, 如Kubernetes、Photon、ClearLinux等都已经将集成AppC容器作为其运营策略的一部分,其运用场景也日渐明朗。

“轻量”、“开 放”、“安全”,很难说这样一种由“一个公司牵头,多个公司入伙,希望依赖社区力量发展”的容器标准会走向何方。至少我们已经看到,不论是CoreOS的 AppC还是红帽的Nulecule,这些后来的容器标准的出现,或多或少是为了改善Docker的某些短板,也为容器业界提供了的一些可供选择的新思 路。从技术的大环境来说,它们的未来是值得期待的。

转自 http://www.infoq.com/cn/articles/coreos-rkt-container-part-02?utm_campaign=infoq_content&utm_source=infoq&utm_medium=feed&utm_term=global


酷毙

雷人

鲜花

鸡蛋

漂亮
  • 快毕业了,没工作经验,
    找份工作好难啊?
    赶紧去人才芯片公司磨练吧!!

最新评论

关于LUPA|人才芯片工程|人才招聘|LUPA认证|LUPA教育|LUPA开源社区 ( 浙B2-20090187 浙公网安备 33010602006705号   

返回顶部