Maintain ContainerOS nodes by using an administrative container or the host - Container Service for Kubernetes: Central de Documentação do Alibaba Cloud

Para reduzir riscos de segurança, o ContainerOS impede que usuários façam logon diretamente no sistema para operações sem rastreamento. Quando é necessário acessar uma instância para manutenção, o ContainerOS disponibiliza um container administrativo dedicado para tarefas não rotineiras, como solução de problemas e instalação de pacotes. Este tópico descreve como executar operações comuns em containers administrativos, incluindo logon, inicialização, parada, reinicialização e consulta de status.

Este tópico se aplica apenas a nós que não estão em Auto Mode .

Métodos de manutenção de nós ContainerOS

O container administrativo inclui mais pacotes de software do que o ambiente host e permite instalar pacotes adicionais com o gerenciador de pacotes yum. No container, é possível visualizar processos do sistema, redes e configurações. Ele também oferece um comando dedicado para acessar o host, equivalente a conectar-se à instância via Workbench, SSH ou VNC.

No ContainerOS 3,5 e versões posteriores, o shell foi removido do ambiente host. Consulte a tabela a seguir para selecione um método de manutenção adequado para os seus nós ContainerOS.

Method

ContainerOS 3,5 and later

ContainerOS earlier than 3,5

Log on to the administrative container

Workbench (somente logon sem senha)
Logon via VNC

Um par de chaves SSH deve estar vinculado à instância.
Ao criar um node pool, defina a credencial de logon como um par de chaves. Para mais informações, consulte Create and manage node pools.
Para node pools existentes, também é possível vincular um par de chaves SSH a uma instância. Para mais informações, consulte Bind an SSH key pair.
Faça logon no host usando Workbench (somente logon sem senha).
Execute sudo lifseacli container start para iniciar o container administrativo.
Faça logon via SSH.

Por padrão, o service SSH (sshd) está desativado no host.

Log on to the host

Após fazer logon no container administrativo, execute o comando sudo superman.

Workbench (somente logon sem senha)
Logon via VNC

Use também o comando kubectl debug para manter nós ContainerOS.

Métodos de logon para ContainerOS 3,5 e versões posteriores

Category

Workbench (password-free logon only)

VNC logon

Prerequisites

Nenhum.

O agente Cloud Assistant vem pré-instalado no container administrativo. Não é necessário instalá-lo manualmente.

O logon via VNC exige autenticação por senha. Primeiro, defina uma senha de logon para o container administrativo por meio de uma sessão Workbench sem senha.

Procedure

Log on to the ACK console. In the left navigation pane, click Clusters.
On the Clusters page, click the name of your cluster. In the left navigation pane, click Nodes > Nodes.
Na coluna Actions do nó, escolha More > Workbench Remote Access.
Siga as instruções exibidas na tela para concluir o logon sem senha.

Log on to the ACK console. In the left navigation pane, click Clusters.
On the Clusters page, click the name of your cluster. In the left navigation pane, click Nodes > Nodes.
Na coluna Actions do nó, escolha More > VNC Remote Access e siga as instruções exibidas na tela para concluir a verificação de identidade.

Métodos de logon para ContainerOS anterior à versão 3,5

Fazer logon no host

Category	Workbench (password-free logon only)	VNC logon
Prerequisites	Verifique se o nó tem acesso de rede ao service Cloud Assistant.	O logon via VNC exige autenticação por senha. Primeiro, defina uma senha de logon para o container administrativo por meio de uma sessão Workbench sem senha.
Procedure	Log on to the ACK console. In the left navigation pane, click Clusters. On the Clusters page, click the name of your cluster. In the left navigation pane, click Nodes > Nodes. Na coluna Actions do nó, escolha More > Workbench Remote Access.	Log on to the ACK console. In the left navigation pane, click Clusters. On the Clusters page, click the name of your cluster. In the left navigation pane, click Nodes > Nodes. Na coluna Actions do nó, escolha More > VNC Remote Access e siga as instruções exibidas na tela para concluir a verificação de identidade.

Logon no container administrativo

Pré-requisitos

Ao criar um node pool, defina a credencial de logon como um par de chaves. Para mais informações, consulte Create and manage node pools.

Para node pools existentes, também é possível vincular um par de chaves SSH a uma instância. Para mais informações, consulte Bind an SSH key pair.
O agente Cloud Assistant deve estar instalado. Para mais informações, consulte Install the Cloud Assistant Agent.
A porta 22 deve ser permitida nas regras do seu grupo de segurança. Para mais informações, consulte Manage security group rules.
O logon sem senha deve estar ativado para a instância ECS.

Na página Remote Connection via Session Management, clique na aba Password-free Logon e confirme que o gerenciamento de sessão está ativado para todas as regiões. O botão de alternância deve estar no estado ativado (verde).

Acessar o ambiente host

Acesse o console do ECS e navegue até o painel Command do Cloud Assistant. Para mais informações, consulte Create and run commands.
No Cloud Assistant, execute o seguinte comando para iniciar o container administrativo:
```
sudo lifseacli container start
```
Saída esperada:
```
Downloading docker image...
Successfully downloaded docker image
Successfully start admin container!
```
A saída indica que o Cloud Assistant iniciou o container administrativo com sucesso.
Em um terminal da sua máquina local, execute o seguinte comando para fazer logon no container administrativo com a chave privada especificada.
Nota
- Substitua <ssh-private-key.pem> pela chave privada do par de chaves vinculado à instância. Substitua <instance-ip> pelo endereço IP da instância.
- Também é possível fazer logon como admin usando Workbench. Use a chave privada do par de chaves vinculado à instância. Verifique se a porta 22 está aberta na instância.
```
ssh -i <ssh-private-key.pem> admin@<instance-ip>
```
Após fazer logon no container administrativo, o sistema de arquivos raiz do host é montado como somente leitura no diretório /.lifsea/rootfs do container administrativo. Use esse ponto de montagem para localizar informações e configurações do sistema.
```
$ssh -i mainxt.pem admin@47.99.45.171
Welcome to LifseaOS maintenance container!
This container is based on Alibaba Cloud Linux 3, therefore most things
should behave the same as a Alibaba Cloud Linux 3 VM or container.
Some common tools are pre-installed for debug purpose and you can install
any tools you want through yum.
Also you can access the LifseaOS host root filesystem (see /.lifsea/rootfs)
within the container.
If you want to place yourself in a real LifseaOS host environment, a tool
named "superman" (`sudo superman`) is provided. Once run, you will go
inside the LifseaOS host's rootfs with a root shell.
Enjoy!
[admin@iZbp1inxxxxtziZ ~]$
```
Execute o seguinte comando para acessar o ambiente host a partir do container administrativo.
```
sudo superman
```
Execute o comando ls para listar os comandos do sistema disponíveis.
```
[root@xxxs9Z /]# ls
bin  boot  dev  etc  home  lib  lib64  media  mnt  opt  ostree  proc  root  run  sbin  srv  sys  sysroot  tmp  usr  var
```
Apenas um número limitado de comandos do sistema está disponível no ambiente host.

Gerenciar o container administrativo

Após entrar no ambiente host, execute exit para retornar ao container administrativo. Execute exit novamente para encerrar a sessão. O container administrativo continua em execução, permitindo reconectar-se via SSH ou usar comandos para pará-lo, reiniciá-lo ou excluí-lo.

Actions	Description
Parar o container administrativo	`sudo lifseacli container stop`
Reiniciar o container administrativo	Se você vincular ou desvincular um par de chaves após iniciar o container administrativo, reinicie o container para que a alteração tenha efeito. `sudo lifseacli container restart`
Excluir o container administrativo	`sudo lifseacli container rm` Importante Ao excluir o container administrativo, todos os softwares instalados ou arquivos salvos nele também serão destruídos. Ao iniciar um novo container administrativo, um ambiente limpo é criado. Recomendamos não armazenar dados críticos no container administrativo.
Consultar o status do container administrativo	`sudo lifseacli container status`

Perguntas frequentes

O erro UNPROTECTED PRIVATE KEY FILE!

Sintomas

Você recebe o seguinte erro:

$ssh -i manxi.pem admin@47
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
@         WARNING: UNPROTECTED PRIVATE KEY FILE!          @
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
Permissions 0644 for 'manxi.pem' are too open.
It is required that your private key files are NOT accessible by others.
This private key will be ignored.
Load key "manxi.pem": bad permissions
Permission denied (publickey,gssapi-keyex,gssapi-with-mic).

Causa

As permissões do arquivo de chave privada são excessivamente abertas.

Solução

Execute o comando chmod 400 <ssh-private-key.pem> para alterar as permissões do arquivo de chave privada para 400. Substitua <ssh-private-key.pem> pelo nome do seu arquivo de chave privada.

Documentos relacionados

ContainerOS image release notes