[wiki] LXC - Utilisation de LXC en mode utilisateur non-privilégié

captnfab · 09-12-2015 20:23:54

Plop,

À la demande générale de Cemoi, j'ai fait un tutoriel sur LXC, une utilisation un peu particulière, puisqu'elle est « sûre », elle permet de faire tourner un conteneur dans lequel les droits super-utilisateur et autre sont en fait des « sous-utilisateurs » de l'utilisateur lançant le conteneur…

Pour plus de détails, lire : Utilisation de LXC en mode utilisateur non-privilégié

Attention, ça pique un peu les yeux…

cemoi · 09-12-2015 21:55:45

Non ça pique pas les yeux... faut des testeurs maintenant! Pour ma part je pense que ça va le faire je réserve mon lundi pour tester ça au calme

J'ai un quad core avec 8go de ddr qui attend ça. Il me semble que c'est une des rares doc en fr sur le sujet! Le trafic va exploser :]

Dernière modification par cemoi (09-12-2015 22:01:26)

cemoi · 20-12-2015 12:06:25

hello,
apres avoir recommencé la manipulation j'ai toujours la même erreur:

lxcuser@debServHome:/home/cemoi$ lxc-start -n DebianFacile -d

 

lxc-start: Permission denied - failed to create directory '/run/user/1000/lxc/'

failed to create lock

lxc-start: Failed to create lxc_container

id lxcuser

uid=1001(lxcuser) gid=1001(lxcuser) groupes=1001(lxcuser)

 

ls -al

total 28

drwxr-xr-x 3 lxcuser lxcuser 4096 déc.  17 00:56 .

drwxr-xr-x 5 root    root    4096 déc.  17 00:07 ..

-rw------- 1 lxcuser lxcuser  184 déc.  19 13:50 .bash_history

-rw-r--r-- 1 lxcuser lxcuser  220 déc.  17 00:07 .bash_logout

-rw-r--r-- 1 lxcuser lxcuser 3515 déc.  17 00:07 .bashrc

drwxr-xr-x 3 lxcuser lxcuser 4096 déc.  17 00:56 .local

-rw-r--r-- 1 lxcuser lxcuser  675 déc.  17 00:07 .profile

Impossible de comprendre comment manipuler les uid/gid pour qu'ils correspondent...

paskal · 20-12-2015 12:23:56

Tu es passé par lxc-create ?

captnfab · 21-12-2015 14:21:28

Plop cemoi,
Tu peux donner tes

cat /etc/sub{g,u}id

Ainsi que

ls -lhd /home{,/lxcuser{,/.local{,/share{,/lxc{,/DebianFacile}}}}}

et

ls -lh /home/lxcuser/.local/share/lxc/DebianFacile

et finalement :

cat /proc/self/cgroup

cemoi · 21-12-2015 21:53:01

@Paskal
oui j'ai fait un:

lxc-create -n DebianFacile -t debian

@u capt'n

cat /etc/sub{g,u}id

systemd-timesync:100000:65536

systemd-network:165536:65536

systemd-resolve:231072:65536

systemd-bus-proxy:296608:65536

messagebus:362144:65536

avahi:427680:65536

Debian-exim:493216:65536

statd:558752:65536

colord:624288:65536

dnsmasq:689824:65536

speech-dispatcher:755360:65536

pulse:820896:65536

rtkit:886432:65536

saned:951968:65536

usbmux:1017504:65536

lightdm:1083040:65536

hplip:1148576:65536

cemoi:1214112:65536

sshd:1279648:65536

libvirt-qemu:1345184:65536

lxcuser:1476256:65536

systemd-timesync:100000:65536

systemd-network:165536:65536

systemd-resolve:231072:65536

systemd-bus-proxy:296608:65536

messagebus:362144:65536

avahi:427680:65536

Debian-exim:493216:65536

statd:558752:65536

colord:624288:65536

dnsmasq:689824:65536

speech-dispatcher:755360:65536

pulse:820896:65536

rtkit:886432:65536

saned:951968:65536

usbmux:1017504:65536

lightdm:1083040:65536

hplip:1148576:65536

cemoi:1214112:65536

sshd:1279648:65536

libvirt-qemu:1345184:65536

lxcuser:1476256:65536

systemd-timesync:100000:65536

systemd-network:165536:65536

systemd-resolve:231072:65536

systemd-bus-proxy:296608:65536

messagebus:362144:65536

avahi:427680:65536

Debian-exim:493216:65536

statd:558752:65536

colord:624288:65536

dnsmasq:689824:65536

speech-dispatcher:755360:65536

pulse:820896:65536

rtkit:886432:65536

saned:951968:65536

usbmux:1017504:65536

lightdm:1083040:65536

hplip:1148576:65536

cemoi:1214112:65536

sshd:1279648:65536

libvirt-qemu:1345184:65536

lxcuser:1476256:65536

ls -lhd /home{,/lxcuser{,/.local{,/share{,/lxc{,/DebianFacile}}}}}

drwxr-xr-x 5 root    root    4,0K déc.  17 00:07 /home

drwxr-xr-x 3 lxcuser lxcuser 4,0K déc.  17 00:56 /home/lxcuser

drwxr-xr-x 3 lxcuser lxcuser 4,0K déc.  17 00:56 /home/lxcuser/.local

drwxr-xr-x 3 lxcuser lxcuser 4,0K déc.  19 13:49 /home/lxcuser/.local/share

drwxr-xr-x 3 lxcuser lxcuser 4,0K déc.  19 13:53 /home/lxcuser/.local/share/lxc

drwxrwx--- 3 lxcuser root    4,0K déc.  19 13:51 /home/lxcuser/.local/share/lxc/DebianFacile

ls -lh /home/lxcuser/.local/share/lxc/DebianFacile

total 8,0K

-rw-r--r--  1 lxcuser root     488 déc.  19 13:51 config

-rw-r--r--  1 lxcuser root       0 déc.  19 13:51 fstab

drwxr-xr-x 22 1477257 1476256 4,0K déc.  19 13:51 rootfs

cat /proc/self/cgroup

perf_event:/

blkio:/

net_cls,net_prio:/

freezer:/

devices:/

cpu,cpuacct:/

cpuset:/

name=systemd:/user.slice/user-1000.slice/session-30.scope

captnfab · 21-12-2015 23:52:32

Ok, très bien. Je vois déja quelques problèmes.
D'abord, le rootfs n'a pas le bon propriétaire. Tu as :

 drwxr-xr-x 22 1477257 1476256 4,0K déc.  19 13:51 rootfs

Il te faudrait faire (attention, surtout PAS de « -r » )

chown 1476256 /home/lxcuser/.local/share/lxc/DebianFacile/rootfs

Et au passage,

chgrp lxcuser /home/lxcuser/.local/share/lxc/DebianFacile/{config,fstab}

et

chmod a+x /home/lxcuser/.local/share/lxc/DebianFacile

Avec ça, tu devrais avancer et passer à un autre message d'erreur du aux problèmes de droits dans les cgroups.

cemoi · 22-12-2015 11:20:23

L'état des droits avant leur changement

ls -l /home/lxcuser/.local/share/lxc/DebianFacile/rootfs

total 80

drwxr-xr-x  2 1476256 1476256 4096 août  28 23:26 bin

drwxr-xr-x  2 1476256 1476256 4096 mai    4  2015 boot

drwxr-xr-x  4 1476256 1476256 4096 déc.  19 13:51 dev

drwxr-xr-x 46 1476256 1476256 4096 déc.  19 13:51 etc

drwxr-xr-x  2 1476256 1476256 4096 mai    4  2015 home

drwxr-xr-x 10 1476256 1476256 4096 août  28 23:26 lib

drwxr-xr-x  2 1476256 1476256 4096 août  28 23:24 lib64

drwxr-xr-x  2 1476256 1476256 4096 août  28 23:24 media

drwxr-xr-x  2 1476256 1476256 4096 août  28 23:24 mnt

drwxr-xr-x  2 1476256 1476256 4096 août  28 23:24 opt

drwxr-xr-x  2 1476256 1476256 4096 mai    4  2015 proc

drwx------  2 1476256 1476256 4096 août  28 23:24 root

drwxr-xr-x  4 1476256 1476256 4096 août  28 23:26 run

drwxr-xr-x  2 1476256 1476256 4096 août  28 23:26 sbin

drwxr-xr-x  2 1476256 1476256 4096 déc.  19 13:51 selinux

drwxr-xr-x  2 1476256 1476256 4096 août  28 23:24 srv

drwxr-xr-x  2 1476256 1476256 4096 avril  6  2015 sys

drwxrwxrwt  2 1476256 1476256 4096 août  28 23:25 tmp

drwxr-xr-x 10 1476256 1476256 4096 août  28 23:24 usr

drwxr-xr-x 11 1476256 1476256 4096 août  28 23:24 var

ls -l /home/lxcuser/.local/share/lxc/DebianFacile/

total 8

-rw-r--r--  1 lxcuser root     488 déc.  19 13:51 config

-rw-r--r--  1 lxcuser root       0 déc.  19 13:51 fstab

drwxr-xr-x 22 1477257 1476256 4096 déc.  19 13:51 rootfs

chown 1476256 /home/lxcuser/.local/share/lxc/DebianFacile/rootfs

ls -l /home/lxcuser/.local/share/lxc/DebianFacile/

total 8

-rw-r--r--  1 lxcuser root     488 déc.  19 13:51 config

-rw-r--r--  1 lxcuser root       0 déc.  19 13:51 fstab

drwxr-xr-x 22 1476256 1476256 4096 déc.  19 13:51 rootfs

chgrp lxcuser /home/lxcuser/.local/share/lxc/DebianFacile/{config,fstab}

id lxcuser

uid=1001(lxcuser) gid=1001(lxcuser) groupes=1001(lxcuser)

Avec le user lxcuser:

chmod a+x /home/lxcuser/.local/share/lxc/DebianFacile

ls -l  /home/lxcuser/.local/share/lxc/DebianFacile

total 8

-rw-r--r--  1 lxcuser lxcuser  488 déc.  19 13:51 config

-rw-r--r--  1 lxcuser lxcuser    0 déc.  19 13:51 fstab

drwxr-xr-x 22 1476256 1476256 4096 déc.  19 13:51 rootfs

ls -l  /home/lxcuser/.local/share/lxc/

total 4

drwxrwx--x 3 lxcuser root 4096 déc.  19 13:51 DebianFacile

cgm modepid all $USER $$

Unknown command: modepid

Usage:

cgm ping

cgm create <controller> <cgroup>

cgm chown <controller> <cgroup> uid gid

cgm chmod <controller> <cgroup> mode

cgm chmodfile <controller> <cgroup> file mode

cgm remove <controller> <cgroup> [0|1]

cgm getpidcgroup <controller> pid

cgm getpidcgroupabs <controller> pid

cgm movepid <controller> <cgroup> pid

cgm movepidabs <controller> <cgroup> pid

cgm getvalue <controller> <cgroup> file

cgm setvalue <controller> <cgroup> file value

cgm gettasks <controller> <cgroup>

cgm gettasksrecursive <controller> <cgroup>

cgm listchildren <controller> <cgroup>

cgm removeonempty <controller> <cgroup>

cgm prune <controller> <cgroup>

cgm listcontrollers

cgm listkeys <controller> <cgroup>

cgm apiversion

 Replace '<controller>' with the desired controller, i.e.

 memory, and '<cgroup>' with the desired cgroup, i.e. x1.

 For create, chown, chmod, remove, prune, remove_on_empty,

 gettasksrecursive and movepid, <controller> may be "all" or

 a comma-separated set of cgroups.

 Remove by default is recursive, but adding '0' as the last argument

 will perforn non-recursive deletion.  Adding '1' is supported

 for legacy reasons.

 To refer to the current cgroup, use ''.

lxc-start -n DebianFacile -d

lxc-start: Permission denied - failed to create directory '/run/user/1000/lxc/'

failed to create lock

lxc-start: Failed to create lxc_container

Précisions: je n'ai fait aucun reboot entre temps mais normalement il ne devrait pas en avoir besoin...

captnfab · 22-12-2015 16:40:54

Hum, tu utilises bien ssh ou getty pour te connecter en tant que lxcuser ?

Et c'est « movepid » pas « modepid. »

cemoi · 22-12-2015 18:04:39

Pour passer en lxcuser je fais un:

su lxcuser

donc getty

modepid c'est ce qu'il y avait sur le wiki j'ai corrigé par movepid.
Ca donne:
en user lxcuser:

cgm movepid all $USER $$

call to cgmanager_move_pid_main_sync failed: invalid request

cemoi · 22-12-2015 18:28:42

Je suis en train de refaire la procedure du wiki suru ne autre machine avec une jessie également, la commande;

usermod lxcuser --add-sub-uids 1279648:2559296 --add-sub-gids 1279648:2559296

usermod : option non reconnue « --add-sub-uids »

Utilisation : usermod [options] LOGIN

ne semble pas bonne.
Sur le serveur j'avais édité les fichiers manuellement mais je ne suis pas certain que ce soit bon de faire comme cela...

cemoi · 22-12-2015 18:41:18

cemoi a écrit :

Je suis en train de refaire la procedure du wiki suru ne autre machine avec une jessie également, la commande;

usermod lxcuser --add-sub-uids 1279648:2559296 --add-sub-gids 1279648:2559296

usermod : option non reconnue « --add-sub-uids »
Utilisation : usermod [options] LOGIN

ne semble pas bonne.
Sur le serveur j'avais édité les fichiers manuellement mais je ne suis pas certain que ce soit bon de faire comme cela...

La commande pour le usermod est:

usermod lxcuser --add-subuids 1279648-2559296 --add-subgids 1279648-2559296

J'ai corrigé sur le wiki.
Les subuid et les subgid sont écrit dans le man avec les - comme séparateur et non pas avec :

captnfab · 22-12-2015 18:50:17

cemoi a écrit :

Pour passer en lxcuser je fais un:
su lxcuser

donc getty

Pas bon, ça ne crée pas de nouvelle session PAM (important pour les cgroups.) Il te faut soit utiliser le login sur un tty, soit te connecter via ssh.

cemoi a écrit :

J'ai corrigé sur le wiki.
Les subuid et les subgid sont écrit dans le man avec les - comme séparateur et non pas avec :

Merci

cemoi · 22-12-2015 20:10:37

alors en passant via ssh avec un

ssh lxcuser@localhost

cgm movepid all $USER $$

call to cgmanager_move_pid_main_sync failed: invalid request

lxc-start -n DebianFacile -d

lxc_container: The container failed to start.

lxc_container: To get more details, run the container in foreground mode.

lxc_container: Additional information can be obtained by setting the --logfile and --logpriority options.

c'est mieux
Avec l'option -F ça donne:

lxc-start -n DebianFacile -F

lxc_container: failed to clone (0x20000011): Operation not permitted

lxc_container: Permission denied - Could not create cgroup '/DebianFacile' in '/sys/fs/cgroup/perf_event'.

lxc_container: Permission denied - cgroup_rmdir: failed to delete /sys/fs/cgroup/perf_event/

lxc_container: Permission denied - cgroup_rmdir: failed to delete /sys/fs/cgroup/blkio/

lxc_container: Permission denied - cgroup_rmdir: failed to delete /sys/fs/cgroup/net_cls,net_prio/

lxc_container: Permission denied - cgroup_rmdir: failed to delete /sys/fs/cgroup/freezer/

lxc_container: Permission denied - cgroup_rmdir: failed to delete /sys/fs/cgroup/devices/

lxc_container: Permission denied - cgroup_rmdir: failed to delete /sys/fs/cgroup/cpu,cpuacct/

lxc_container: Permission denied - cgroup_rmdir: failed to delete /sys/fs/cgroup/cpuset/

lxc_container: failed creating cgroups

lxc_container: failed to spawn 'DebianFacile'

lxc_container: The container failed to start.

lxc_container: Additional information can be obtained by setting the --logfile and --logpriority options.

Dernière modification par cemoi (22-12-2015 20:12:47)

captnfab · 22-12-2015 20:52:14

Bien. Le failed to clone se règle avec les deux echo dans /proc.
Il restera le pb du movepid.

cemoi · 22-12-2015 21:15:55

Je viens de refaire la procedure sur une autre jessie j'ai exactement les mêmes messages et je comprends pas ton histoire des deux echo :]

Edit:
Je viens de comprendre....

ls -al /sys/fs/cgroup/

total 0

drwxr-xr-x 10 root root 280 déc.  22 17:54 .

drwxr-xr-x  6 root root   0 déc.  22 17:53 ..

dr-xr-xr-x  2 root root   0 déc.  22 21:19 blkio

lrwxrwxrwx  1 root root  11 déc.  22 17:54 cpu -> cpu,cpuacct

lrwxrwxrwx  1 root root  11 déc.  22 17:54 cpuacct -> cpu,cpuacct

dr-xr-xr-x  2 root root   0 déc.  22 21:19 cpu,cpuacct

dr-xr-xr-x  2 root root   0 déc.  22 21:19 cpuset

dr-xr-xr-x  2 root root   0 déc.  22 21:19 devices

dr-xr-xr-x  2 root root   0 déc.  22 21:19 freezer

lrwxrwxrwx  1 root root  16 déc.  22 17:54 net_cls -> net_cls,net_prio

dr-xr-xr-x  2 root root   0 déc.  22 21:19 net_cls,net_prio

lrwxrwxrwx  1 root root  16 déc.  22 17:54 net_prio -> net_cls,net_prio

dr-xr-xr-x  2 root root   0 déc.  22 21:19 perf_event

dr-xr-xr-x  4 root root   0 déc.  22 21:19 systemd

ffectivement il manque des trucs là... >> Failed to connect to socket /sys/fs/cgroup/cgmanager/sock

Dernière modification par cemoi (22-12-2015 21:24:40)

cemoi · 22-12-2015 21:36:16

cgmanager ne semble pas "configuré"...
https://github.com/lxc/cgmanager
https://linuxcontainers.org/cgmanager/introduction/

Dernière modification par cemoi (22-12-2015 21:39:21)

cemoi · 22-12-2015 21:51:26

dans le man de cgmanager;

EXAMPLES
To create a new memory cgroup called 'compute', you can use:
dbus-send --print-reply --address=unix:path=/sys/fs/cgroup/cgmanager/sock --type=method_call /org/linuxcontainers/cgmanager org.linuxcontainers.cgmanager0_0.Create
string:'memory' string:"compute" > /dev/null 2>&1

To set a limit of 100000,
dbus-send --print-reply --address=unix:path=/sys/fs/cgroup/cgmanager/sock --type=method_call /org/linuxcontainers/cgmanager org.linuxcontainers.cgmanager0_0.SetValue
string:'memory' string:"compute" string:memory.limit_in_bytes int32:100000 > /dev/null 2>&1

ça commence à piquer les yeux là...

captnfab · 22-12-2015 23:10:28

Je n'ai pas eu à toucher cgmanager. Par contre, pour la création des cgroups, j'ai bien du utiliser la boucle for qui est dans « configurer les cgroups. »

Tu as bien exécuté ce script shell ?

Quels sont les nouveaux messages d'erreur ?

captnfab · 23-12-2015 11:02:17

NB: Le sujet s'est poursuivi sur l'IRC :
https://debian-facile.org/irclog/debian … 2#i_165766
https://debian-facile.org/irclog/debian … 2#i_165834
https://debian-facile.org/irclog/df-flo … 2#i_165914
et
https://debian-facile.org/irclog/df-flood/2015-12-23

Nous allons tenter d'intégrer un retour des différents problèmes rencontrés (à peu près tous ceux possibles ^^" ) sur la page wiki.

captnfab · 23-12-2015 11:12:32

FAQ:

Ajout de lxc-start: Permission denied - failed to create directory '/run/user/1000/lxc/ en cas de connexion hors PAM
Ajout de lxc_container: failed to clone (0x20000011): Operation not permitted et les mappings d'uid/gid
Ajout de autodev = 0
Ajout de l'erreur de mauvais rootfs / fstab
Ajout de l'erreur de configuration des devices

paskal · 23-12-2015 11:14:18

@captnfab: heureusement que tu fournis le "désentrelacement", sinon, pour suivre ... c'est déjà hard.

captnfab · 23-12-2015 16:22:58

Héhé, ouais, y'a un nombre assez prodigieux de possibilité de faire une erreur là-dedans… Là, après une journée et demi sur le bazar, je commence à en comprendre des bouts

Ceci-dit, je n'arrive toujours pas à faire fonctionner la même chose sous Stretch…

captnfab · 22-06-2018 18:32:26

Quelques corrections et mises à jour. Les choses sont plus simples maintenant avec stretch.
À noter que certains softs ne fonctionnent pas dans des LXC users, comme redis-server par exemple (à cause de cgroupkeychaineries systemd-esques).

Erlen · 25-07-2022 20:22:43

Bonjour,

Je me permets de continuer ce fil vu que sur la page debian-lxc https://debian-facile.org/doc:autres:vm … tilisateur on demande de faire des remarques ou de poser ses questions ici.

Je fais tourné des conteneurs lxc root sans soucis. Mais j'aimerais plutôt les passer en mode non privilégié. Pour l'instant tout ce que j'ai testé c'est soldé par un échec.
En regardant le tuto du debian-facile il est mentionné ceci :

"Vérifier que le fichier /sys/fs/cgroup/cpuset/cgroup.clone_children est bien à 1 par défaut sur le système. "
J'utilise debian bullseye et le dossier cpuset n'existe pas, et dans le dossier cgroup il n'y a pas de fichier cgroup.clone_children
Question simple comment mettre cgroup.clone_children à 1 ?

Remarque d'amélioration du tuto, il devrait dire comment résoudre le problème si cgroup.clone_children n'est pas à 1 ou pointé vers un explication.

D'avance merci pour votre aide

Debian-facile

#1 09-12-2015 20:23:54

[wiki] LXC - Utilisation de LXC en mode utilisateur non-privilégié

#2 09-12-2015 21:55:45

Re : [wiki] LXC - Utilisation de LXC en mode utilisateur non-privilégié

#3 20-12-2015 12:06:25

Re : [wiki] LXC - Utilisation de LXC en mode utilisateur non-privilégié

#4 20-12-2015 12:23:56

Re : [wiki] LXC - Utilisation de LXC en mode utilisateur non-privilégié

#5 21-12-2015 14:21:28

Re : [wiki] LXC - Utilisation de LXC en mode utilisateur non-privilégié

#6 21-12-2015 21:53:01

Re : [wiki] LXC - Utilisation de LXC en mode utilisateur non-privilégié

#7 21-12-2015 23:52:32

Re : [wiki] LXC - Utilisation de LXC en mode utilisateur non-privilégié

#8 22-12-2015 11:20:23

Re : [wiki] LXC - Utilisation de LXC en mode utilisateur non-privilégié

#9 22-12-2015 16:40:54

Re : [wiki] LXC - Utilisation de LXC en mode utilisateur non-privilégié

#10 22-12-2015 18:04:39

Re : [wiki] LXC - Utilisation de LXC en mode utilisateur non-privilégié

#11 22-12-2015 18:28:42

Re : [wiki] LXC - Utilisation de LXC en mode utilisateur non-privilégié

#12 22-12-2015 18:41:18

Re : [wiki] LXC - Utilisation de LXC en mode utilisateur non-privilégié

#13 22-12-2015 18:50:17

Re : [wiki] LXC - Utilisation de LXC en mode utilisateur non-privilégié

#14 22-12-2015 20:10:37

Re : [wiki] LXC - Utilisation de LXC en mode utilisateur non-privilégié

#15 22-12-2015 20:52:14

Re : [wiki] LXC - Utilisation de LXC en mode utilisateur non-privilégié

#16 22-12-2015 21:15:55

Re : [wiki] LXC - Utilisation de LXC en mode utilisateur non-privilégié

#17 22-12-2015 21:36:16

Re : [wiki] LXC - Utilisation de LXC en mode utilisateur non-privilégié

#18 22-12-2015 21:51:26

Re : [wiki] LXC - Utilisation de LXC en mode utilisateur non-privilégié

#19 22-12-2015 23:10:28

Re : [wiki] LXC - Utilisation de LXC en mode utilisateur non-privilégié

#20 23-12-2015 11:02:17

Re : [wiki] LXC - Utilisation de LXC en mode utilisateur non-privilégié

#21 23-12-2015 11:12:32

Re : [wiki] LXC - Utilisation de LXC en mode utilisateur non-privilégié

#22 23-12-2015 11:14:18

Re : [wiki] LXC - Utilisation de LXC en mode utilisateur non-privilégié

#23 23-12-2015 16:22:58

Re : [wiki] LXC - Utilisation de LXC en mode utilisateur non-privilégié

#24 22-06-2018 18:32:26

Re : [wiki] LXC - Utilisation de LXC en mode utilisateur non-privilégié

#25 25-07-2022 20:22:43

Re : [wiki] LXC - Utilisation de LXC en mode utilisateur non-privilégié

Pied de page des forums