Platform For AI:サブコンテナ管理 (DockerBoard)

マルチコンテナ分離の有効化

1. PAI コンソールにログインし、DSW ページに移動して、インスタンスの作成 をクリックします。

2. インスタンス設定で、インスタンス内での Docker の有効化 スイッチを有効にします。

3. このオプションを有効にすると、次の設定が表示されます：

   • [選択したロールによるインスタンスの操作を禁止します。]：ドロップダウンリストから、制限するワークスペースロールを選択します。制限されたロールを持つユーザーは、DSW メインコンテナを直接開いたり操作したりすることはできず、SSH 経由でサブコンテナにログインして開発作業を行うことしかできません。

     たとえば、アルゴリズム開発 を選択した場合、このロールを持つユーザーはメインコンテナにはアクセスできません。ただし、インスタンス詳細ページの 子コンテナ管理 タブで、引き続き自身のサブコンテナを作成して使用できます。

     ロールを選択しない場合、承認されたすべてのユーザーが通常どおりメインコンテナにアクセスでき、これは従来の動作と同じです。

   • [子コンテナ数の上限]：インスタンスに作成できるサブコンテナの最大数を設定します。1 から 16 までの整数を入力できます。デフォルト値は 10 です。

   • [データカタログの隔離構成]：メインコンテナ内のデータディレクトリ分離設定ファイルのパスを指定します。デフォルトのパスは /etc/docker/dockerboard/mount_access.json です。このファイルは、ユーザーがサブコンテナを作成する際にマウントできるデータディレクトリを制御します。構成テンプレートのダウンロード をクリックして、テンプレートファイルをダウンロードできます。設定手順については、「データディレクトリ分離の設定」をご参照ください。

4. 残りのインスタンス設定を完了し、[Create Instance] をクリックします。

データディレクトリ分離の設定

データディレクトリ分離は、開発者がサブコンテナを作成する際にマウントできるディレクトリを制御し、承認された範囲外のストレージデータへのアクセスを防ぎます。

手順

1. インスタンスの作成または編集ページで、構成テンプレートのダウンロード の下にある データカタログの隔離構成 リンクをクリックして、JSON テンプレートファイルを取得します。

2. テンプレートの形式に従い、各 Alibaba Cloud サブアカウントの UID を、ユーザーがアクセス可能な DSW メインコンテナ内のディレクトリにマッピングします。

3. 編集した mount_access.json ファイルを、DSW メインコンテナ内の設定パスで指定された場所に配置します。デフォルトの場所は /etc/docker/dockerboard/mount_access.json です。

設定ファイル形式

設定ファイルは JSON 形式で、Alibaba Cloud サブアカウントの UID をキーとして使用します。各ユーザーに対して、Allow (許可されるマウントディレクトリ) と Deny (拒否されるマウントディレクトリ) を設定できます。以下に例を示します：

{
  "123124432xxx": {
    "Allow": [
      "/mnt/workspace",
      "/mnt/data1"
    ],
    "Deny": [
      "/mnt/data2"
    ]
  },
  "224321234xxx": {
    "Allow": [
      "*"
    ]
  }
}

次の表に、フィールドの説明を示します。

設定適用ルール

• 設定ファイルが存在し有効な場合、システムはサブコンテナ作成時に、ユーザーが選択したディレクトリをマウントする権限があるかどうかをチェックします。

• 設定ファイルにユーザーのレコードが見つからない場合、ユーザーはサブコンテナ作成時にどのデータディレクトリもマウントできません。ページには「お使いのアカウントには利用可能な DSW パスがありません。パスをマウントする必要がある場合は、インスタンス管理者に連絡して設定を追加してもらってください。」というメッセージが表示されます。

• 設定ファイルのパスが空の場合や、ファイルが存在しない場合、システムはディレクトリ分離チェックを実行せず、すべてのユーザーがメインコンテナから任意のディレクトリをマウントできます。

管理ページへのアクセス

1. PAI コンソールにログインし、DSW ページに移動します。

2. インスタンスリストで、DinD が有効になっている対象インスタンスの名前をクリックして、インスタンス詳細ページに移動します。

3. インスタンス詳細ページで、子コンテナ管理 タブをクリックします。

サブコンテナの作成

[Sub-container Management] ページで、子コンテナの作成 をクリックし、作成フォームで次のパラメーターを入力します。

基本情報

環境情報

リソース情報

設定が完了したら、確認 をクリックしてサブコンテナを作成します。[Sub-container Management] ページで 子コンテナ作成タスクの進捗 をクリックすると、作成の進行状況を表示できます。

サブコンテナの管理

サブコンテナリストの [操作] 列には、次の操作があります：

自身が作成したサブコンテナのみを管理できます。

• 開始：停止状態のサブコンテナを開始します。

• 停止：実行中のサブコンテナを停止します。コンテナ内のプロセスは終了しますが、コンテナの設定とマウントされたストレージデータは保持されます。

• 再起動：実行中のサブコンテナを再起動します。これは、停止してから開始するのと同様の操作です。

• ログ：トラブルシューティングのためにサブコンテナの実行ログを表示します。

• SSH接続情報：接続ユーザー名やコマンドなど、サブコン基本的な接続の詳細を表示します。

• 削除：サブコンテナを削除します。ストレージマウントを通じて永続化されていないデータは完全に失われます。操作にはご注意ください。

サブコンテナリスト

[Sub-container Management] ページに移動すると、現在のインスタンス上のすべてのサブコンテナのリストが表示され、次の情報が表示されます：

DSW インスタンスに対する読み取り権限を持つすべてのユーザーは、すべてのサブコンテナのリストを表示できますが、管理 (開始、停止、または削除) できるのは自身が作成したサブコンテナのみです。

作成タスクリスト

サブコンテナの作成には、特に大きなイメージをプルする場合に時間がかかることがあります。システムは、作成タスクを追跡する機能を提供します。

[Sub-container Management] ページの右上隅にある 子コンテナ作成タスクの進捗 をクリックすると、すべてのコンテナ作成タスクのステータスとログを表示できます。「Creating」状態のタスクは手動で停止できます。タスクレコードは 3 日後に自動的に削除されます。

SSH経由での接続

サブコンテナが作成され、実行されると、SSH 経由でリモート接続できます。

手順

1. サブコンテナリストで対象のサブコンテナを探し、[操作] 列の [SSH Connection Information] をクリックします。ダイアログが開き、接続ユーザー名と完全な接続コマンドが表示されます。

2. ローカルターミナルで接続コマンドを実行して、サブコンテナにログインします。コマンドの形式は次のとおりです：

ssh <connection_username>@<instance_public_address> -p 22 -i <local_private_key_path>

次の表に、パラメーターの説明を示します。

SSH ログインが成功すると、サブコンテナのコマンドライン環境に直接接続されます。すべてのサブコンテナは DSW メインコンテナのポート 22 を共有しますが、アクセスは一意の SSH キーと専用のユーザー名によって分離されています。

Q：「Sub-container Management」タブが表示されないのはなぜですか？

A：以下をご確認ください：

1. DSW インスタンスが インスタンス内での Docker の有効化 機能を有効にして作成されていること。

2. DSW メインコンテナが現在 [Running] 状態であること。[Sub-container Management] タブは、メインコンテナが実行中でない場合は表示されません。

Q：データディレクトリをマウントできないのはなぜですか？

A：インスタンス管理者がデータディレクトリ分離ポリシーを設定しており、お使いの Alibaba Cloud アカウントに設定ファイル内で利用可能なディレクトリが割り当てられていない可能性があります。インスタンス管理者に連絡して、mount_access.json ファイルにアカウントの設定を追加してもらってください。

Q：SSH接続に失敗するのはなぜですか？

A：以下の項目を順番にご確認ください：

1. サブコンテナが [Running] 状態であることを確認してください。

2. 使用しているローカル秘密鍵が、サブコンテナの作成時に指定した公開鍵と一致することを確認してください。

3. DSW インスタンスで SSH 機能が有効化されていることを確認してください。

4. お使いのネットワークが、インスタンスのパブリック IP アドレスのポート 22 へのアクセスを許可していることを確認してください。

Q：サブコンテナの作成が遅いのはなぜですか？

A：作成時間は主にイメージのプル速度に依存します。大きなイメージを初めてプルする場合、時間がかかることがあります。作成タスクリストで進行状況とログを確認できます。同じイメージを使用する後続のコンテナは、イメージがローカルにキャッシュされるため、はるかに高速に作成できます。

Q：他のユーザーのサブコンテナを管理できますか？

A：デフォルトでは、自身が作成したサブコンテナのみを管理できますが、すべてのサブコンテナの基本情報を表示することはできます。他のユーザーが作成したサブコンテナを管理するには、管理者が RAM ポリシーを通じて必要な権限を付与する必要があります。