Контейнеры: Docker и compose / Ступень 10 из 11 · шаг 8 из 9

Контейнер перезапускается под нагрузкой

~25 мин

Не запущена Запускается обычно ~20 с

Ситуация

Служба ingest разбирает ночные выгрузки продаж: файл CSV появляется в /srv/ingest/inbox, а сводка по нему — в /srv/ingest/done. До прошлой недели служба работала от системного пользователя ingest, и каталог /srv/ingest принадлежит ему. Потом её перенесли в контейнер Docker: контейнер создаёт скрипт /opt/ingest/run.sh, код импорта лежит рядом, в /opt/ingest.

С переезда не обработано ни одной выгрузки: сегодняшняя, на 40 МиБ, так и лежит в inbox, а docker ps показывает ingest то запущенным пару секунд, то перезапускающимся.

Задача

ingest обрабатывает выгрузки и не перезапускается: проверка положит в inbox свою выгрузку на 40 МиБ и дождётся сводки. Код импорта в /opt/ingest не меняй.
Лимит памяти контейнера ingest — 128 МиБ: столько выделено службе на этой машине.
Процесс в контейнере работает от пользователя и группы ingest, как до переезда.
После перезагрузки машины ingest поднимается сам.

Команды docker запускай через sudo: у пользователя student нет прямого доступа к Docker. Интернета на машине нет, образ alpine уже загружен.

Цели лабы

0 из 4

ingest обрабатывает выгрузку 40 МиБ и не перезапускается, код импорта прежний — ещё не проверялась
Лимит памяти контейнера ingest — 128 МиБ — ещё не проверялась
Процесс в контейнере работает от пользователя и группы ingest — ещё не проверялась
После перезагрузки машины ingest поднимается сам — ещё не проверялась

Подсказки

открыто 0 из 3 · открываются по одной

Подсказка 1

Показать решение после 3 неудачных проверок

Для запуска машины нужен вход

Машина запускается на твой аккаунт, там же хранится прогресс. Читать можно без входа.

После входа вернёшься на эту лабу.

Контейнеры · подобрано по лабе

Docker — контейнеры: запуск, порты, тома, сети

Шпаргалка

$_ — вставить в терминал

sudo systemctl enable --now docker включить службу
sudo docker run -d --name web -p 8080:80 nginx:alpine фоном
sudo docker ps -a все контейнеры и их статус
sudo docker logs --tail 20 web вывод главного процесса
sudo docker exec -it web sh оболочка внутри
sudo docker stop web; sudo docker start web
sudo docker rm -f web удалить, даже работающий
sudo docker port web опубликованные порты
sudo docker inspect -f '{{.State.Status}}' web одно поле
sudo docker volume ls тома
sudo docker network ls сети
sudo docker stats --no-stream CPU и память контейнеров

Служба настраивается файлом /etc/docker/daemon.json — JSON без комментариев:

json

{
  "log-driver": "json-file",
  "log-opts": {"max-size": "10m", "max-file": "3"},
  "data-root": "/srv/docker"
}

Применить — sudo systemctl restart docker. Ошибка в JSON не даст службе стартовать: смотри journalctl -u docker. Что применилось:

bash

sudo docker info -f '{{.DockerRootDir}} {{.LoggingDriver}}'

На машине тренажёра это /var/lib/docker json-file. Перезапуск службы останавливает все контейнеры. Обратно поднимутся те, кого поднимет политика перезапуска (раздел выше). data-root меняй на пустом каталоге: старые образы и тома служба сама не перенесёт.

Почему контейнер остановился

bash

sudo docker ps -a --filter name=web
sudo docker logs --tail 30 web
sudo docker inspect -f '{{.State.ExitCode}} {{.State.OOMKilled}}' web

Код 0 — команда просто закончилась: для службы это значит, что она ушла в фон. 137 — процесс убит KILL: нехватка памяти (OOMKilled true) или docker stop, на который процесс не ответил. 1, 2 и другие — ошибка самой программы, текст в логах.

Пересоздать контейнер с новыми ключами

bash

sudo docker inspect -f '{{json .Config.Env}} {{json .Mounts}}' web
sudo docker rm -f web
sudo docker run -d --name web --restart unless-stopped \
  -p 8080:80 -v data:/data -e MODE=prod app:1.1

Данные в томе переживут пересоздание, данные в слое контейнера — нет.

Найти контейнер среди процессов хоста

text

student@ubuntu:~$ sudo docker inspect -f '{{.State.Pid}}' web1
2055
student@ubuntu:~$ ps -o pid,user,cmd -p 2055
    PID USER     CMD
   2055 root     sleep 600

Команда в контейнере из скрипта

docker exec -it нужен терминал. В скрипте и конвейере ключ -t даёт ошибку the input device is not a TTY — пиши без -t: docker exec web cat /etc/hosts.

permission denied … docker.sock

Пользователь не в группе docker. Запускай через sudo. Членство в группе даёт права root на машине — см. «Опасно».

Cannot connect to the Docker daemon

text

Cannot connect to the Docker daemon at unix:///var/run/docker.sock.
Is the docker daemon running?

Служба не запущена: sudo systemctl enable --now docker. Если ты останавливал только docker.service, systemd предупредит its triggering units are still active: docker.socket — первая же команда docker поднимет службу снова через сокет.

port is already allocated

Bind for 0.0.0.0:8081 failed: port is already allocated — порт хоста занят другим контейнером или службой: sudo ss -tlnp | grep :8081 (ss). Контейнер при этом уже создан — удали его docker rm и запусти с другим портом слева.

The container name … is already in use

Контейнер с таким именем уже есть, хотя бы остановленный (docker ps -a). Удали старый docker rm или выбери другое имя.

Контейнер сразу Exited (0)

Главный процесс закончился без ошибки. Так ведёт себя служба, которая ушла в фон: httpd без -f, nginx без daemon off. Главный процесс должен работать на переднем плане.

docker stop ждёт 10 секунд и даёт 137

docker stop шлёт SIGTERM и ждёт 10 секунд. Процесс с PID 1 без своего обработчика SIGTERM его не получает — так ведут себя sleep и busybox httpd, — и Docker добивает его KILL: Exited (137). Для таких контейнеров docker stop -t 1 или docker rm -f.

container … is not running

docker exec работает только в запущенном контейнере. Остановленный — docker start, а если он падает сразу, читай docker logs.

docker logs | grep не находит строку

docker logs отдаёт вывод контейнера двумя потоками: что процесс писал в stderr, идёт в stderr. Ошибки программ обычно там, и конвейер их не видит. Склей потоки: sudo docker logs web 2>&1 | grep error.

Данные пропали после пересоздания

Данные лежали в слое контейнера. Подключай том: -v data:/путь. Старый том никуда не делся, если контейнер был с ним: docker volume ls.

Контейнеры не видят друг друга по имени

Оба в сети по умолчанию bridge: ping: bad address. Создай свою сеть и подключи оба (docker network connect).

volume is in use / has active endpoints

Том или сеть нужны контейнеру, хотя бы остановленному. Список — docker ps -a --filter volume=data1 или --filter network=appnet; удали контейнеры, потом том или сеть.

Группа docker = root

Кто может писать в docker.sock, тот запустит контейнер с -v /:/host и получит весь диск хоста от root. Добавлять пользователя в группу docker — то же, что дать ему sudo без пароля.

docker rm -f и данные в слое контейнера

rm -f останавливает и удаляет контейнер разом, вместе с его слоем. Всё, что контейнер записал не в том или bind mount, пропадёт.

docker volume prune -a и docker system prune

docker volume prune удаляет безымянные тома, которые не нужны ни одному контейнеру; с -a — и именованные. Том, чей контейнер ты как раз пересоздаёшь, в этот момент «не нужен никому» — данные удалятся безвозвратно. Перед чисткой проверь docker volume ls.