Platform For AI:Gestion des sous-conteneurs (DockerBoard)

Activer l'isolation multi-conteneurs

1. Connectez-vous à la console PAI, accédez à la page DSW, puis cliquez sur Create Instance.

2. Dans les paramètres de configuration de l'instance, localisez et activez l'option Enable Multi-Container Isolation (DinD).

3. Une fois cette option activée, les paramètres suivants s'affichent :

   • Restrict roles that can access the main container : Dans la liste déroulante, sélectionnez les rôles d'espace de travail à restreindre. Les utilisateurs dotés d'un rôle restreint ne peuvent pas ouvrir ni utiliser directement le conteneur principal DSW ; ils doivent se connecter à un sous-conteneur via SSH pour effectuer leurs travaux de développement.

     Par exemple, si vous sélectionnez Algorithm Development, les utilisateurs ayant ce rôle ne peuvent pas accéder au conteneur principal. Toutefois, ils peuvent toujours créer et utiliser leurs propres sous-conteneurs dans l'onglet Sub-container Management de la page des détails de l'instance.

     Si vous ne sélectionnez aucun rôle, tous les utilisateurs autorisés peuvent accéder au conteneur principal comme auparavant, conformément au comportement existant.

   • Maximum Number of Sub-containers : Définissez le nombre maximal de sous-conteneurs pouvant être créés pour l'instance. Vous pouvez saisir un entier compris entre 1 et 16. La valeur par défaut est 10.

   • Data Catalog Fencing Configuration : Spécifiez le chemin d'accès au fichier de configuration d'isolation des répertoires de données dans le conteneur principal. Le chemin par défaut est /etc/docker/dockerboard/mount_access.json. Ce fichier contrôle les répertoires de données que les utilisateurs peuvent monter lors de la création de sous-conteneurs. Cliquez sur Configuration Template Download pour télécharger le modèle. Pour connaître les étapes de configuration, consultez la section Configurer l'isolation des répertoires de données.

4. Terminez la configuration restante de l'instance, puis cliquez sur Create Instance.

Configurer l'isolation des répertoires de données

L'isolation des répertoires de données contrôle les répertoires que les développeurs peuvent monter lors de la création de sous-conteneurs, empêchant ainsi l'accès aux données de stockage situées en dehors de leur périmètre autorisé.

Procédure

1. Sur la page de création ou de modification de l'instance, cliquez sur le lien Data Catalog Fencing Configuration situé sous Configuration Template Download pour obtenir le fichier modèle JSON.

2. Suivez le format du modèle pour mapper chaque UID de sous-compte Alibaba Cloud aux répertoires du conteneur principal DSW auxquels l'utilisateur est autorisé à accéder.

3. Placez le fichier mount_access.json modifié à l'emplacement spécifié par le chemin de configuration dans le conteneur principal DSW. L'emplacement par défaut est /etc/docker/dockerboard/mount_access.json.

Format du fichier de configuration

Le fichier de configuration est au format JSON et utilise l'UID du sous-compte Alibaba Cloud comme clé. Pour chaque utilisateur, vous pouvez configurer Allow (répertoires de montage autorisés) et Deny (répertoires de montage refusés). Voici un exemple :

{
  "123124432xxx": {
    "Allow": [
      "/mnt/workspace",
      "/mnt/data1"
    ],
    "Deny": [
      "/mnt/data2"
    ]
  },
  "224321234xxx": {
    "Allow": [
      "*"
    ]
  }
}

Le tableau suivant décrit les champs.

Règles d'application de la configuration

• Si le fichier de configuration existe et est valide, le système vérifie si l'utilisateur dispose de l'autorisation de monter les répertoires sélectionnés lors de la création d'un sous-conteneur.

• Si aucun enregistrement n'est trouvé pour l'utilisateur dans le fichier de configuration, celui-ci ne peut monter aucun répertoire de données lors de la création d'un sous-conteneur. La page affiche le message suivant : « Your account does not have any available DSW paths. If you need to mount a path, contact the instance administrator to add a configuration for you. »

• Si le chemin du fichier de configuration est vide ou si le fichier n'existe pas, le système n'effectue aucune vérification d'isolation des répertoires et tous les utilisateurs peuvent monter n'importe quel répertoire du conteneur principal.

Accéder à la page de gestion

1. Connectez-vous à la console PAI et accédez à la page DSW.

2. Dans la liste des instances, cliquez sur le nom de l'instance cible pour laquelle DinD est activé afin d'accéder à la page des détails de l'instance.

3. Sur la page des détails de l'instance, cliquez sur l'onglet Sub-container Management.

Créer un sous-conteneur

Sur la page Sub-container Management, cliquez sur Create Sub-container et renseignez les paramètres suivants dans le formulaire de création.

Informations de base

Informations sur l'environnement

Informations sur les ressources

Une fois la configuration terminée, cliquez sur Confirm pour créer le sous-conteneur. Vous pouvez consulter la progression de la création en cliquant sur Child Container Creation Progress sur la page Sub-container Management.

Gérer les sous-conteneurs

Dans la liste des sous-conteneurs, la colonne Actions propose les opérations suivantes :

Vous ne pouvez gérer que les sous-conteneurs que vous avez créés.

• Start : démarre un sous-conteneur à l'état arrêté.

• Stop : arrête un sous-conteneur en cours d'exécution. Les processus à l'intérieur du conteneur sont terminés, mais la configuration du conteneur et les données de stockage montées sont conservées.

• Restart : redémarre un sous-conteneur en cours d'exécution. Cela équivaut à l'arrêter puis à le démarrer.

• Log : consultez les journaux d'exécution du sous-conteneur pour le dépannage.

• SSH Connection Information : consultez les détails de la connexion SSH pour le sous-conteneur, y compris le nom d'utilisateur de connexion et la commande.

• Delete : supprime le sous-conteneur. Les données non persistantes via un montage de stockage sont définitivement perdues. Procédez avec prudence.

Liste des sous-conteneurs

Après avoir accédé à la page Sub-container Management, une liste de tous les sous-conteneurs de l'instance actuelle s'affiche, montrant les informations suivantes :

Tous les utilisateurs disposant d'autorisations de lecture sur l'instance DSW peuvent consulter la liste complète des sous-conteneurs, mais ne peuvent gérer (démarrer, arrêter ou supprimer) que les sous-conteneurs qu'ils ont créés.

Liste des tâches de création

La création d'un sous-conteneur peut prendre du temps, en particulier lors du téléchargement d'images volumineuses. Le système fournit un moyen de suivre les tâches de création.

Dans le coin supérieur droit de la page Sub-container Management, cliquez sur Child Container Creation Progress pour afficher l'état et les journaux de toutes les tâches de création de conteneurs. Vous pouvez arrêter manuellement les tâches à l'état « Creating ». Les enregistrements de tâches sont automatiquement supprimés après 3 jours.

Se connecter via SSH

Une fois un sous-conteneur créé et en cours d'exécution, vous pouvez vous y connecter à distance via SSH.

Procédure

1. Dans la liste des sous-conteneurs, recherchez le sous-conteneur cible et cliquez sur SSH Connection Information dans la colonne Actions. Une boîte de dialogue s'ouvre, affichant le nom d'utilisateur de connexion et la commande de connexion complète.

2. Exécutez la commande de connexion dans votre terminal local pour vous connecter au sous-conteneur. Le format de la commande est le suivant :

ssh <connection_username>@<instance_public_address> -p 22 -i <local_private_key_path>

Le tableau suivant décrit les paramètres.

Après une connexion SSH réussie, vous êtes connecté directement à l'environnement de ligne de commande du sous-conteneur. Tous les sous-conteneurs partagent le port 22 du conteneur principal DSW, mais l'accès est isolé grâce à des clés SSH uniques et des noms d'utilisateur dédiés.

Q : Pourquoi l'onglet « Sub-container management » est-il absent ?

R : Veuillez vérifier les points suivants :

1. L'instance DSW a été créée avec la fonctionnalité Enable Multi-Container Isolation (DinD) activée.

2. Le conteneur principal DSW est actuellement à l'état Running. L'onglet Sub-container Management ne s'affiche pas lorsque le conteneur principal n'est pas en cours d'exécution.

Q : Pourquoi ne puis-je pas monter un répertoire de données ?

R : Cela peut être dû au fait que l'administrateur de l'instance a configuré une politique d'isolation des répertoires de données et que votre compte Alibaba Cloud n'a reçu aucun répertoire disponible dans le fichier de configuration. Contactez l'administrateur de l'instance pour ajouter une configuration pour votre compte dans le fichier mount_access.json.

Q : Pourquoi ma connexion SSH échoue-t-elle ?

R : Veuillez vérifier les points suivants dans l'ordre :

1. Assurez-vous que le sous-conteneur est à l'état Running.

2. Assurez-vous que la clé privée locale que vous utilisez correspond à la clé publique que vous avez fournie lors de la création du sous-conteneur.

3. Assurez-vous que la fonctionnalité SSH est activée pour l'instance DSW.

4. Assurez-vous que votre réseau autorise l'accès à l'adresse IP publique de l'instance sur le port 22.

Q : Pourquoi la création de sous-conteneurs est-elle lente ?

R : Le temps de création dépend principalement de la vitesse de téléchargement de l'image. Le premier téléchargement d'une image volumineuse peut prendre un certain temps. Vous pouvez vérifier la progression et les journaux dans la liste des tâches de création. Les conteneurs suivants utilisant la même image sont créés beaucoup plus rapidement car l'image est mise en cache localement.

Q : Puis-je gérer les sous-conteneurs d'un autre utilisateur ?

R : Par défaut, vous ne pouvez gérer que les sous-conteneurs que vous avez créés, mais vous pouvez consulter les informations de base de tous les sous-conteneurs. Pour gérer les sous-conteneurs créés par d'autres personnes, un administrateur doit vous accorder les autorisations nécessaires via une politique RAM.