Platform For AI:サブコンテナ管理 (DockerBoard)

マルチコンテナ分離の有効化

1. Platform for AI (PAI) コンソールにログインし、DSW ページに移動して、Create Instance をクリックします。

2. インスタンス設定で、Enable Multi-Container Isolation (DinD) スイッチを見つけて有効にします。

3. このオプションを有効にすると、以下の設定が表示されます：

   • [Restrict roles that can access the main container]： ドロップダウンリストから、制限するワークスペースの役割を選択します。制限された役割を持つユーザーは、DSW のメインコンテナを直接開いたり操作したりすることはできず、SSH 経由でサブコンテナにログインして開発作業を行うことしかできません。

     たとえば、Algorithm Development を選択した場合、この役割を持つユーザーはメインコンテナにアクセスできません。ただし、インスタンス詳細ページの Sub-container Management タブで、引き続き自身のサブコンテナを作成して使用できます。

     ロールを選択しない場合、すべての承認済みユーザーは通常どおりメインコンテナにアクセスでき、これは既存の動作と一致します。

   • [Maximum Number of Sub-containers]： インスタンスで作成できるサブコンテナの最大数を設定します。1 から 16 までの整数を入力できます。デフォルト値は 10 です。

   • [Data Catalog Fencing Configuration]： メインコンテナ内のデータディレクトリ分離設定ファイルのパスを指定します。デフォルトのパスは /etc/docker/dockerboard/mount_access.json です。このファイルは、ユーザーがサブコンテナを作成する際にマウントできるデータディレクトリを制御します。Configuration Template Download をクリックして、テンプレートファイルをダウンロードできます。設定手順については、「データディレクトリ分離の設定」をご参照ください。

4. 残りのインスタンス設定を完了し、[Create Instance] をクリックします。

データディレクトリ分離の設定

データディレクトリ分離は、開発者がサブコンテナを作成する際にマウントできるデータディレクトリを制御します。これにより、開発者が承認された範囲を超えてストレージデータにアクセスするのを防ぎます。

手順

1. インスタンスの作成または編集ページで、Data Catalog Fencing Configuration の下にある Configuration Template Download リンクをクリックして、JSON テンプレートファイルを取得します。

2. テンプレートの形式に従って、各 Alibaba Cloud サブアカウント UID を、ユーザーがアクセスを許可されている DSW メインコンテナ内のディレクトリにマッピングします。

3. 編集した mount_access.json ファイルを、DSW メインコンテナ内の設定パスで指定された場所に配置します。デフォルトの場所は /etc/docker/dockerboard/mount_access.json です。

設定ファイルの形式

設定ファイルは JSON 形式です。Alibaba Cloud サブアカウント UID をキーとして使用します。各ユーザーについて、Allow (許可されるマウントディレクトリのリスト) と Deny (拒否されるマウントディレクトリのリスト) を設定できます。以下に例を示します：

{
  "123124432xxx": {
    "Allow": [
      "/mnt/workspace",
      "/mnt/data1"
    ],
    "Deny": [
      "/mnt/data2"
    ]
  },
  "224321234xxx": {
    "Allow": [
      "*"
    ]
  }
}

次の表に、フィールドの説明を示します。

設定適用ルール

• 設定ファイルが存在し、有効である場合、システムはサブコンテナ作成時に現在のユーザーが選択したディレクトリをマウントする権限があるか確認します。

• 設定ファイルに現在のユーザーのレコードが見つからない場合、ユーザーは新しいサブコンテナを作成する際にどのデータディレクトリもマウントできません。ページには、「Your account does not have any available DSW paths. If you need to mount a path, contact the instance administrator to add a configuration for you.」というメッセージが表示されます。

• 設定ファイルのパスが空であるか、ファイルが存在しない場合、システムはディレクトリ分離チェックを実行せず、すべてのユーザーがメインコンテナから任意のディレクトリをマウントできます。

管理ページへのアクセス

1. PAI コンソールにログインし、DSW ページに移動します。

2. インスタンスリストで、DinD が有効になっているターゲットインスタンスの名前をクリックして、インスタンス詳細ページに移動します。

3. インスタンス詳細ページで、Sub-container Management タブをクリックします。

サブコンテナの作成

[Sub-container Management] ページで Create Sub-container をクリックし、作成フォームで以下のパラメーターを入力します。

基本情報

環境情報

リソース情報

設定を完了したら、Confirm をクリックしてサブコンテナを作成します。[Sub-container Management] ページの Child Container Creation Progress をクリックすると、作成の進行状況を表示できます。

サブコンテナの管理

サブコンテナリストでは、各サブコンテナの [操作] 列で以下の操作が可能です：

自分が作成したサブコンテナのみを管理できます。

• 開始： 停止状態のサブコンテナを開始します。

• 停止： 実行中のサブコンテナを停止します。コンテナ内のプロセスは終了しますが、コンテナの設定とマウントされたストレージデータは失われません。

• 再起動： 実行中のサブコンテナを再起動します。これは、停止してから開始するのと同じです。

• ログ： トラブルシューティングのためにサブコンテナの実行ログを表示します。

• SSH 接続情報： 接続ユーザー名やコマンドなど、サブコンテナの SSH 接続情報を表示します。

• 削除： サブコンテナを削除します。ストレージマウントを通じて永続化されていないデータは完全に失われます。この操作は慎重に実行してください。

サブコンテナのリスト

[Sub-container Management] ページに移動すると、現在のインスタンス上のすべてのサブコンテナのリストが表示されます。リストには以下の情報が表示されます：

DSW インスタンスに対する読み取り権限を持つすべてのユーザーは、サブコンテナの完全なリストを表示できますが、管理 (開始、停止、または削除) できるのは自身が作成したサブコンテナのみです。

作成タスクリスト

サブコンテナの作成は、特に大きなイメージをプルする場合に時間がかかることがあるため、システムは作成タスクを追跡する方法を提供しています。

[Sub-container Management] ページの右上隅にある Child Container Creation Progress をクリックすると、すべてのコンテナ作成タスクのステータスとログを表示できます。「Creating」状態のタスクは手動で停止できます。タスクレコードは 3 日後に自動的に削除されます。

SSH 経由での接続

サブコンテナが作成され、実行された後、SSH 経由でリモート接続できます。

手順

1. サブコンテナリストで、ターゲットのサブコンテナを見つけ、[操作] 列の [SSH Connection Information] をクリックします。ダイアログが開き、接続ユーザー名と完全な接続コマンドが表示されます。

2. ローカルターミナルで接続コマンドを実行して、サブコンテナにログインします。コマンドの形式は次のとおりです：

ssh <connection_username>@<instance_public_address> -p 22 -i <local_private_key_path>

パラメータは次の表のとおりです。

SSH ログインが成功すると、サブコンテナのコマンドライン環境に直接接続されます。すべてのサブコンテナは DSW メインコンテナのポート 22 を共有しますが、アクセスは一意の SSH キーと専用の接続ユーザー名によって分離されます。

Q：「[Sub-container Management]」タブが表示されないのはなぜですか？

A： 以下をご確認ください：

1. DSW インスタンスが Enable Multi-Container Isolation (DinD) 機能を有効にして作成されていること。

2. DSW メインコンテナが現在 [Running] 状態であること。[Sub-container Management] タブは、メインコンテナが実行中でない場合は表示されません。

Q：データディレクトリをマウントできないのはなぜですか？

A： インスタンス管理者がデータディレクトリ分離ポリシーを設定しており、お客様の Alibaba Cloud アカウントに設定ファイル内で利用可能なディレクトリが割り当てられていない可能性があります。インスタンス管理者に連絡して、mount_access.json ファイルにお客様のアカウントの設定を追加してもらってください。

Q：SSH 接続に失敗するのはなぜですか？

A： 以下の順でご確認ください：

1. サブコンテナが [Running] 状態であることを確認してください。

2. 使用しているローカル秘密キーが、サブコンテナ作成時に指定した公開キーと一致していることを確認してください。

3. DSW インスタンスで SSH 機能が有効になっていることを確認してください。

4. ネットワークが、インスタンスのパブリック IP アドレスへのポート 22 でのアクセスを許可していることを確認してください。

Q：サブコンテナの作成が遅いのはなぜですか？

A： サブコンテナの作成時間は、主にイメージのプル速度に依存します。大きなイメージを初めてプルする場合、時間がかかることがあります。作成タスクリストで進行状況とログを確認できます。後で同じイメージを使用して新しいコンテナを作成すると、イメージがローカルにキャッシュされているため、プロセスははるかに高速になります。

Q：他のユーザーのサブコンテナを管理できますか？

A： デフォルトでは、自分が作成したサブコンテナのみを管理できますが、すべてのサブコンテナの基本情報は表示できます。他のユーザーが作成したサブコンテナを管理するには、管理者に RAM ポリシーを介して必要な権限を付与してもらう必要があります。