Platform For AI:Manage sub-containers with DockerBoard

Habilitar el aislamiento de múltiples contenedores al crear una instancia

1. Inicie sesión en la PAI console, vaya a la página de DSW y haga clic en Create Instance.

2. En la configuración de la instancia, localice el interruptor Enable Multi-Container Isolation (DinD) y actívelo.

3. Una vez habilitado, aparecerán a continuación los siguientes parámetros:

   • Restrict roles that can access the main container: seleccione en la lista desplegable los roles del espacio de trabajo que desea restringir. Estos no podrán abrir ni operar directamente el contenedor principal de DSW, sino que desarrollarán en subcontenedores a los que accederán mediante SSH.

     Por ejemplo, si selecciona Algorithm Development, los usuarios con ese rol no podrán ingresar al contenedor principal. Sin embargo, seguirán teniendo la capacidad de crear y usar sus propios subcontenedores desde la pestaña Sub-container Management en la página de detalles de la instancia.

     Si no selecciona ningún rol, todos los usuarios autorizados podrán acceder al contenedor principal y el comportamiento será el mismo que antes.

   • Maximum Number of Sub-containers: establezca el número máximo de subcontenedores que se pueden crear en la instancia. Los valores válidos son números enteros del 1 al 16, y el valor predeterminado es 10.

   • Data Catalog Fencing Configuration: especifique la ruta del archivo de configuración de aislamiento de directorios de datos en el contenedor principal. La ruta predeterminada es /etc/docker/dockerboard/mount_access.json. Este archivo controla los directorios de datos que cada usuario puede montar al crear subcontenedores. Primero, haga clic en Configuration Template Download para descargar la plantilla del archivo de configuración. Para conocer los pasos de configuración, consulte Configure data directory isolation.

4. Complete el resto de la configuración de la instancia y envíela para crearla.

Configurar el aislamiento de directorios de datos

El aislamiento de directorios de datos controla qué directorios del contenedor principal puede montar cada desarrollador al crear un subcontenedor. Esto evita que los desarrolladores accedan sin autorización a los datos de almacenamiento de otros usuarios.

Pasos de configuración:

1. En la página de creación o edición de la instancia, haga clic en el enlace Configuration Template Download, ubicado debajo de Data Catalog Fencing Configuration, para descargar el archivo de plantilla JSON.

2. Siga el formato de la plantilla y complete la asignación entre el UID de cada usuario de RAM de Alibaba Cloud y los directorios del contenedor principal de DSW a los que dicho usuario puede acceder.

3. Coloque el archivo mount_access.json editado en el contenedor principal de DSW, en la ubicación indicada por la ruta configurada (de forma predeterminada, /etc/docker/dockerboard/mount_access.json).

Formato del archivo de configuración:

El archivo de configuración utiliza el formato JSON. Cada clave corresponde al UID de un usuario de RAM de Alibaba Cloud, y cada entrada de usuario admite dos campos: Allow (los directorios que el usuario puede montar) y Deny (los directorios que el usuario no puede montar). A continuación se muestra un ejemplo del formato:

{
  "123124432xxx": {
    "Allow": [
      "/mnt/workspace",
      "/mnt/data1"
    ],
    "Deny": [
      "/mnt/data2"
    ]
  },
  "224321234xxx": {
    "Allow": [
      "*"
    ]
  }
}

La siguiente tabla describe los campos:

Reglas de configuración:

• Si el archivo de configuración existe y tiene un formato válido, el sistema comprueba si el usuario actual tiene permiso para montar los directorios seleccionados cuando se crea un subcontenedor.

• Si el archivo de configuración no contiene ninguna entrada para el usuario actual, este no podrá montar directorios de datos al crear un subcontenedor. En ese caso, se mostrará el siguiente mensaje: "Your account has no available DSW paths. If you need to mount directories, contact the instance administrator to add the configuration for you."

• Si la ruta del archivo configurada está vacía o el archivo no existe, el sistema omite las comprobaciones de aislamiento de directorios y todos los usuarios pueden montar cualquier directorio del contenedor principal.

Abrir la página de gestión de subcontenedores

1. Inicie sesión en la PAI console y vaya a la página de DSW.

2. En la lista de instancias, haga clic en el nombre de la instancia de destino donde DinD esté habilitado para ir a la página de detalles.

3. En la página de detalles de la instancia, haga clic en la pestaña Sub-container Management para abrir la página de gestión.

Crear un subcontenedor

En la página de gestión de subcontenedores, haga clic en el botón Create Sub-container y complete a continuación los ajustes en el formulario de creación.

Información básica

Información del entorno

Información de recursos

Una vez completada la configuración, haga clic en Confirm para crear el subcontenedor. En la página de gestión de subcontenedores, haga clic en Child Container Creation Progress para consultar el proceso de creación.

Gestionar subcontenedores

En la lista de subcontenedores, la columna de acciones de cada uno ofrece las siguientes operaciones:

Solo puede gestionar los subcontenedores que usted haya creado.

• Start: inicia un subcontenedor que se encuentra en estado Stopped.

• Stop: detiene un subcontenedor en ejecución. Una vez detenido, los procesos internos finalizan, pero la configuración del contenedor y los datos de almacenamiento montados no se pierden.

• Restart: reinicia un subcontenedor en ejecución. Esta operación equivale a detenerlo y volver a iniciarlo.

• Logs: permite consultar los registros de ejecución del subcontenedor, lo cual resulta útil para solucionar problemas.

• SSH connection information: muestra la información de conexión SSH del subcontenedor, incluido el nombre de usuario y el comando de conexión.

• Delete: elimina el subcontenedor. Los datos que no se hayan conservado mediante almacenamiento montado no se podrán recuperar tras la eliminación, por lo que debe proceder con precaución.

Consultar la lista de subcontenedores

La página de gestión de subcontenedores muestra una lista con todos los subcontenedores de la instancia actual. Dicha lista presenta la siguiente información:

Todos los usuarios con permisos de lectura de DSW pueden consultar la lista completa de subcontenedores, pero únicamente pueden iniciar, detener y eliminar aquellos que ellos mismos hayan creado.

Consultar la lista de tareas de creación de contenedores

Crear un subcontenedor puede tomar bastante tiempo (por ejemplo, cuando se necesita descargar una imagen grande). Por ello, el sistema da seguimiento a las tareas de creación de contenedores.

En la esquina superior derecha de la página de gestión de subcontenedores, haga clic en Child Container Creation Progress para consultar el estado y los registros de todas las tareas de creación de contenedores. Usted puede cancelar manualmente las tareas que se encuentren en estado Creating. De forma predeterminada, los registros de las tareas se conservan durante 3 días y luego se eliminan automáticamente.

Acceder a un subcontenedor mediante SSH

Una vez creado el subcontenedor y cuando este se encuentre en estado Running, podrá iniciar sesión en él de forma remota mediante SSH.

Procedimiento:

1. En la lista de subcontenedores, localice el subcontenedor de destino y haga clic en SSH connection information en la columna de acciones. Esta información incluye el nombre de usuario y el comando de conexión completo.

2. Copie el comando de conexión generado por la consola y ejecútelo en una terminal local para iniciar sesión en el subcontenedor. El comando tiene el siguiente formato:

ssh <username>@<public-ip-address> -p <public-port> -i <local-private-key-path>

La siguiente tabla describe los parámetros:

Al iniciar sesión mediante SSH, accederá al entorno de línea de comandos del subcontenedor correspondiente. Todos los subcontenedores comparten el puerto público del contenedor principal de DSW. El acceso se aísla mediante la clave SSH específica y el nombre de usuario de conexión exclusivo de cada subcontenedor.

P: ¿Por qué no veo la pestaña de gestión de subcontenedores en la página de detalles de la instancia?

Compruebe lo siguiente:

1. Que la función Enable Multi-Container Isolation (DinD) estuviera habilitada al crear la instancia de DSW.

2. Que el contenedor principal de DSW se encuentre en estado Running. Cuando el contenedor principal no se está ejecutando, la pestaña de gestión de subcontenedores no se muestra.

P: ¿Por qué no puedo montar directorios de datos al crear un subcontenedor?

Es posible que el administrador de la instancia haya configurado una política de aislamiento de directorios de datos y que no se le hayan asignado directorios disponibles a su usuario de RAM en el archivo de configuración. Comuníquese con el administrador de la instancia para que agregue una entrada para usted en mount_access.json.

P: ¿Por qué falla la conexión SSH a un subcontenedor?

Compruebe lo siguiente en orden:

1. Si el subcontenedor se encuentra en estado Running.

2. Si la clave privada local que utiliza coincide con la clave pública que introdujo al crear el subcontenedor.

3. Si SSH está habilitado en la instancia de DSW.

4. Si su red puede acceder a la dirección pública y al puerto público SSH de la instancia.

P: ¿Por qué la creación de un subcontenedor tarda tanto?

El tiempo de creación depende principalmente de la velocidad de descarga de la imagen. Descargar una imagen grande por primera vez puede tomar bastante tiempo. Puede consultar el progreso y los registros en la lista de tareas de creación de contenedores. Cuando más adelante cree un nuevo contenedor con la misma imagen, el proceso será mucho más rápido porque la imagen ya estará almacenada en caché de forma local.

P: ¿Puedo gestionar subcontenedores creados por otros usuarios?

Sí. Esto depende de su rol y de la configuración de permisos de operación de la instancia.

• Los propietarios y administradores del espacio de trabajo, así como los propietarios de la instancia, cuentan con permisos de operación completos sobre ella. Pueden gestionar los subcontenedores creados por cualquier usuario y no les afecta la restricción que impide operar o modificar la instancia.

• Los usuarios con el rol de desarrollo de algoritmos o de operación y mantenimiento de algoritmos, junto con los roles personalizados que tengan el permiso de solo lectura de DSW, también pueden gestionar de forma predeterminada los subcontenedores creados por otros usuarios. Si a estos roles se les restringe la capacidad de operar o modificar la instancia, solo podrán gestionar los subcontenedores que ellos mismos hayan creado.

• Todos los usuarios con permisos de lectura de DSW pueden consultar la información básica de todos los subcontenedores.