Контейнеры: Docker и compose / Ступень 10 из 11

Лимиты, OOMKilled и пользователь в контейнере

Не запущена Запускается обычно ~20 с

Шаг 8 из 9 · лаба · 25 мин

Контейнер перезапускается под нагрузкой

Служба импорта переехала в контейнер и с тех пор не обработала ни одной выгрузки — контейнер то запущен, то перезапускается. Найди причину и почини так, чтобы служба держала нагрузку в выделенных ей рамках.

Ситуация

Служба ingest разбирает ночные выгрузки продаж: файл CSV появляется в /srv/ingest/inbox, а сводка по нему — в /srv/ingest/done. До прошлой недели служба работала от системного пользователя ingest, и каталог /srv/ingest принадлежит ему. Потом её перенесли в контейнер Docker: контейнер создаёт скрипт /opt/ingest/run.sh, код импорта лежит рядом, в /opt/ingest.

С переезда не обработано ни одной выгрузки: сегодняшняя, на 40 МиБ, так и лежит в inbox, а docker ps показывает ingest то запущенным пару секунд, то перезапускающимся.

Задача

ingest обрабатывает выгрузки и не перезапускается: проверка положит в inbox свою выгрузку на 40 МиБ и дождётся сводки. Код импорта в /opt/ingest не меняй.
Лимит памяти контейнера ingest — 128 МиБ: столько выделено службе на этой машине.
Процесс в контейнере работает от пользователя и группы ingest, как до переезда.
После перезагрузки машины ingest поднимается сам.

Команды docker запускай через sudo: у пользователя student нет прямого доступа к Docker. Интернета на машине нет, образ alpine уже загружен.

Лаба · самостоятельно

Команды в этой лабе не даны: набирай их в терминале сам. Цели проверяются на машине после каждой команды.

Цели

0 из 4

ingest обрабатывает выгрузку 40 МиБ и не перезапускается, код импорта прежний — ещё не выполнена
Лимит памяти контейнера ingest — 128 МиБ — ещё не выполнена
Процесс в контейнере работает от пользователя и группы ingest — ещё не выполнена
После перезагрузки машины ingest поднимается сам — ещё не выполнена

Ctrl+Enter

Запустит машину node1 · Ubuntu 24.04

Машина запускается

Подсказки

0 из 3

Сообщить о проблеме

Цели лабы

0 из 4

ingest обрабатывает выгрузку 40 МиБ и не перезапускается, код импорта прежний — ещё не выполнена
Лимит памяти контейнера ingest — 128 МиБ — ещё не выполнена
Процесс в контейнере работает от пользователя и группы ingest — ещё не выполнена
После перезагрузки машины ingest поднимается сам — ещё не выполнена

node1 Ubuntu 24.04

Для запуска машины нужен вход

Машина запускается на твой аккаунт, там же хранится прогресс. Читать можно без входа.

После входа вернёшься на эту лабу.

Цели лабы

0 из 4

ingest обрабатывает выгрузку 40 МиБ и не перезапускается, код импорта прежний — ещё не выполнена
Лимит памяти контейнера ingest — 128 МиБ — ещё не выполнена
Процесс в контейнере работает от пользователя и группы ingest — ещё не выполнена
После перезагрузки машины ingest поднимается сам — ещё не выполнена

Контейнеры · подобрано по лабе

Docker — контейнеры: запуск, порты, тома, сети

Шпаргалка

$_ — вставить в терминал

sudo systemctl enable --now docker включить службу
sudo docker run -d --name web -p 8080:80 nginx:alpine фоном
sudo docker ps -a все контейнеры и их статус
sudo docker logs --tail 20 web вывод главного процесса
sudo docker exec -it web sh оболочка внутри
sudo docker stop web; sudo docker start web
sudo docker rm -f web удалить, даже работающий
sudo docker port web опубликованные порты
sudo docker inspect -f '{{.State.Status}}' web одно поле
sudo docker volume ls тома
sudo docker network ls сети
sudo docker stats --no-stream CPU и память контейнеров

Служба настраивается файлом /etc/docker/daemon.json — JSON без комментариев:

json

{
  "log-driver": "json-file",
  "log-opts": {"max-size": "10m", "max-file": "3"},
  "data-root": "/srv/docker"
}

Применить — sudo systemctl restart docker. Ошибка в JSON не даст службе стартовать: смотри journalctl -u docker. Что применилось:

bash

sudo docker info -f '{{.DockerRootDir}} {{.LoggingDriver}}'

На машине тренажёра это /var/lib/docker json-file. Перезапуск службы останавливает все контейнеры. Обратно поднимутся те, кого поднимет политика перезапуска (раздел выше). data-root меняй на пустом каталоге: старые образы и тома служба сама не перенесёт.

Почему контейнер остановился

bash

sudo docker ps -a --filter name=web
sudo docker logs --tail 30 web
sudo docker inspect -f '{{.State.ExitCode}} {{.State.OOMKilled}}' web

Код 0 — команда просто закончилась: для службы это значит, что она ушла в фон. 137 — процесс убит KILL: нехватка памяти (OOMKilled true) или docker stop, на который процесс не ответил. 1, 2 и другие — ошибка самой программы, текст в логах.

Пересоздать контейнер с новыми ключами

bash

sudo docker inspect -f '{{json .Config.Env}} {{json .Mounts}}' web
sudo docker rm -f web
sudo docker run -d --name web --restart unless-stopped \
  -p 8080:80 -v data:/data -e MODE=prod app:1.1

Данные в томе переживут пересоздание, данные в слое контейнера — нет.

Найти контейнер среди процессов хоста

text

student@ubuntu:~$ sudo docker inspect -f '{{.State.Pid}}' web1
2055
student@ubuntu:~$ ps -o pid,user,cmd -p 2055
    PID USER     CMD
   2055 root     sleep 600

Команда в контейнере из скрипта

docker exec -it нужен терминал. В скрипте и конвейере ключ -t даёт ошибку the input device is not a TTY — пиши без -t: docker exec web cat /etc/hosts.

permission denied … docker.sock

Пользователь не в группе docker. Запускай через sudo. Членство в группе даёт права root на машине — см. «Опасно».

Cannot connect to the Docker daemon

text

Cannot connect to the Docker daemon at unix:///var/run/docker.sock.
Is the docker daemon running?

Служба не запущена: sudo systemctl enable --now docker. Если ты останавливал только docker.service, systemd предупредит its triggering units are still active: docker.socket — первая же команда docker поднимет службу снова через сокет.

port is already allocated

Bind for 0.0.0.0:8081 failed: port is already allocated — порт хоста занят другим контейнером или службой: sudo ss -tlnp | grep :8081 (ss). Контейнер при этом уже создан — удали его docker rm и запусти с другим портом слева.

The container name … is already in use

Контейнер с таким именем уже есть, хотя бы остановленный (docker ps -a). Удали старый docker rm или выбери другое имя.

Контейнер сразу Exited (0)

Главный процесс закончился без ошибки. Так ведёт себя служба, которая ушла в фон: httpd без -f, nginx без daemon off. Главный процесс должен работать на переднем плане.

docker stop ждёт 10 секунд и даёт 137

docker stop шлёт SIGTERM и ждёт 10 секунд. Процесс с PID 1 без своего обработчика SIGTERM его не получает — так ведут себя sleep и busybox httpd, — и Docker добивает его KILL: Exited (137). Для таких контейнеров docker stop -t 1 или docker rm -f.

container … is not running

docker exec работает только в запущенном контейнере. Остановленный — docker start, а если он падает сразу, читай docker logs.

docker logs | grep не находит строку

docker logs отдаёт вывод контейнера двумя потоками: что процесс писал в stderr, идёт в stderr. Ошибки программ обычно там, и конвейер их не видит. Склей потоки: sudo docker logs web 2>&1 | grep error.

Данные пропали после пересоздания

Данные лежали в слое контейнера. Подключай том: -v data:/путь. Старый том никуда не делся, если контейнер был с ним: docker volume ls.

Контейнеры не видят друг друга по имени

Оба в сети по умолчанию bridge: ping: bad address. Создай свою сеть и подключи оба (docker network connect).

volume is in use / has active endpoints

Том или сеть нужны контейнеру, хотя бы остановленному. Список — docker ps -a --filter volume=data1 или --filter network=appnet; удали контейнеры, потом том или сеть.

Группа docker = root

Кто может писать в docker.sock, тот запустит контейнер с -v /:/host и получит весь диск хоста от root. Добавлять пользователя в группу docker — то же, что дать ему sudo без пароля.

docker rm -f и данные в слое контейнера

rm -f останавливает и удаляет контейнер разом, вместе с его слоем. Всё, что контейнер записал не в том или bind mount, пропадёт.

docker volume prune -a и docker system prune

docker volume prune удаляет безымянные тома, которые не нужны ни одному контейнеру; с -a — и именованные. Том, чей контейнер ты как раз пересоздаёшь, в этот момент «не нужен никому» — данные удалятся безвозвратно. Перед чисткой проверь docker volume ls.