Platform For AI:Gerenciamento de sub-contêineres (DockerBoard)

Ativar isolamento de múltiplos contêineres

1. Faça login no PAI console, acesse a página do DSW e clique em Create Instance.

2. Nas configurações da instância, localize e ative a chave Enable Multi-Container Isolation (DinD).

3. Após ativar essa opção, as seguintes configurações serão exibidas:

   • Restrict roles that can access the main container: Na lista suspensa, selecione as funções do workspace a serem restringidas. Usuários com uma função restrita não podem abrir ou operar diretamente o contêiner principal do DSW; eles só podem trabalhar fazendo login em um sub-contêiner via SSH.

     Por exemplo, se você selecionar Algorithm Development, os usuários com essa função não poderão acessar o contêiner principal. No entanto, eles ainda poderão criar e usar seus próprios sub-contêineres na aba Sub-container Management da página de detalhes da instância.

     Se nenhuma função for selecionada, todos os usuários autorizados poderão acessar o contêiner principal normalmente, mantendo o comportamento existente.

   • Maximum Number of Sub-containers: Defina o número máximo de sub-contêineres que podem ser criados para a instância. Insira um número inteiro de 1 a 16. O valor padrão é 10.

   • Data Catalog Fencing Configuration: Especifique o caminho do arquivo de configuração de isolamento de diretórios de dados dentro do contêiner principal. O caminho padrão é /etc/docker/dockerboard/mount_access.json. Esse arquivo controla quais diretórios de dados os usuários podem montar ao criar sub-contêineres. Clique em Configuration Template Download para baixar o arquivo de modelo. Para etapas de configuração, consulte Configurar isolamento de diretórios de dados.

4. Conclua as demais configurações da instância e clique em Create Instance.

Configurar isolamento de diretórios de dados

O isolamento de diretórios de dados controla quais diretórios os desenvolvedores podem montar ao criar sub-contêineres, impedindo o acesso a dados de armazenamento fora de seu escopo autorizado.

Procedimento

1. Na página de criação ou edição da instância, clique no link Data Catalog Fencing Configuration abaixo de Configuration Template Download para obter o arquivo de modelo JSON.

2. Siga o formato do modelo para mapear cada UID de subconta Alibaba Cloud aos diretórios dentro do contêiner principal do DSW que o usuário tem permissão para acessar.

3. Coloque o arquivo mount_access.json editado no local especificado pelo caminho de configuração no contêiner principal do DSW. O local padrão é /etc/docker/dockerboard/mount_access.json.

Formato do arquivo de configuração

O arquivo de configuração está no formato JSON e utiliza o UID da subconta Alibaba Cloud como chave. Para cada usuário, configure Allow (diretórios de montagem permitidos) e Deny (diretórios de montagem negados). Veja um exemplo:

{
  "123124432xxx": {
    "Allow": [
      "/mnt/workspace",
      "/mnt/data1"
    ],
    "Deny": [
      "/mnt/data2"
    ]
  },
  "224321234xxx": {
    "Allow": [
      "*"
    ]
  }
}

A tabela a seguir descreve os campos.

Regras de aplicação da configuração

• Se o arquivo de configuração existir e for válido, o sistema verificará se o usuário tem permissão para montar os diretórios selecionados ao criar um sub-contêiner.

• Caso nenhum registro do usuário seja encontrado no arquivo de configuração, ele não poderá montar nenhum diretório de dados ao criar um sub-contêiner. A página exibirá a mensagem: "Your account does not have any available DSW paths. If you need to mount a path, contact the instance administrator to add a configuration for you."

• Se o caminho do arquivo de configuração estiver vazio ou o arquivo não existir, o sistema não realizará verificações de isolamento de diretórios e todos os usuários poderão montar qualquer diretório do contêiner principal.

Acessar a página de gerenciamento

1. Faça login no PAI console e acesse a página do DSW.

2. Na lista de instâncias, clique no nome da instância desejada com DinD habilitado para ir à página de detalhes da instância.

3. Na página de detalhes da instância, clique na aba Sub-container Management.

Criar um sub-contêiner

Na página Sub-container Management, clique em Create Sub-container e preencha os seguintes parâmetros no formulário de criação.

Informações básicas

Informações de ambiente

Informações de recursos

Após concluir a configuração, clique em Confirm para criar o sub-contêiner. Acompanhe o progresso da criação clicando em Child Container Creation Progress na página Sub-container Management.

Gerenciar sub-contêineres

Na lista de sub-contêineres, a coluna de ações oferece as seguintes operações:

Você só pode gerenciar os sub-contêineres que criou.

• Start: Inicia um sub-contêiner parado.

• Stop: Interrompe um sub-contêiner em execução. Os processos dentro do contêiner são encerrados, mas a configuração do contêiner e os dados de armazenamento montados são preservados.

• Restart: Reinicia um sub-contêiner em execução. Equivale a parar e iniciá-lo novamente.

• Log: Visualize os logs de execução do sub-contêiner para solução de problemas.

• SSH Connection Information: Consulte os detalhes de conexão SSH do sub-contêiner, incluindo o nome de usuário e o comando de conexão.

• Delete: Exclui o sub-contêiner. Dados não persistidos por meio de montagem de armazenamento serão perdidos permanentemente. Proceda com cautela.

Lista de sub-contêineres

Ao acessar a página Sub-container Management, o sistema exibe uma lista de todos os sub-contêineres na instância atual com as seguintes informações:

Todos os usuários com permissões de leitura na instância DSW podem visualizar a lista completa de sub-contêineres, mas só podem gerenciar (iniciar, parar ou excluir) os sub-contêineres que criaram.

Lista de tarefas de criação

A criação de um sub-contêiner pode levar tempo, especialmente ao baixar imagens grandes. O sistema oferece uma forma de acompanhar as tarefas de criação.

No canto superior direito da página Sub-container Management, clique em Child Container Creation Progress para visualizar o status e os logs de todas as tarefas de criação de contêineres. Tarefas em estado "Creating" podem ser interrompidas manualmente. Os registros de tarefas são excluídos automaticamente após 3 dias.

Conectar via SSH

Depois que um sub-contêiner for criado e estiver em execução, conecte-se a ele remotamente via SSH.

Procedimento

1. Na lista de sub-contêineres, localize o sub-contêiner desejado e clique em SSH Connection Information na coluna de ações. Uma caixa de diálogo será aberta, exibindo o nome de usuário e o comando completo de conexão.

2. Execute o comando de conexão no seu terminal local para fazer login no sub-contêiner. O formato do comando é o seguinte:

ssh <connection_username>@<instance_public_address> -p 22 -i <local_private_key_path>

A tabela a seguir descreve os parâmetros.

Após um login SSH bem-sucedido, você estará conectado diretamente ao ambiente de linha de comando do sub-contêiner. Todos os sub-contêineres compartilham a porta 22 do contêiner principal do DSW, mas o acesso é isolado por meio de chaves SSH exclusivas e nomes de usuário dedicados.

P: Por que a aba "Sub-container management" está ausente?

R: Verifique os seguintes pontos:

1. A instância DSW foi criada com o recurso Enable Multi-Container Isolation (DinD) ativado.

2. O contêiner principal do DSW está atualmente no estado Running. A aba Sub-container Management não é exibida quando o contêiner principal não está em execução.

P: Por que não consigo montar um diretório de dados?

R: Isso pode ocorrer porque o administrador da instância configurou uma política de isolamento de diretórios de dados e sua conta Alibaba Cloud não recebeu nenhum diretório disponível no arquivo de configuração. Entre em contato com o administrador da instância para adicionar uma configuração para sua conta no arquivo mount_access.json.

P: Por que minha conexão SSH está falhando?

R: Verifique os seguintes itens nesta ordem:

1. Certifique-se de que o sub-contêiner está no estado Running.

2. Confirme se a chave privada local que você está usando corresponde à chave pública fornecida ao criar o sub-contêiner.

3. Verifique se o recurso SSH está habilitado para a instância DSW.

4. Assegure-se de que sua rede permite acesso ao endereço IP público da instância na porta 22.

P: Por que a criação do sub-contêiner está lenta?

R: O tempo de criação depende principalmente da velocidade de download da imagem. Baixar uma imagem grande pela primeira vez pode demorar. Consulte o progresso e os logs na lista de tarefas de criação. Contêineres subsequentes que usam a mesma imagem são criados muito mais rápido porque a imagem é armazenada em cache localmente.

P: Posso gerenciar sub-contêineres de outro usuário?

R: Por padrão, você só pode gerenciar sub-contêineres que criou, mas consegue visualizar informações básicas de todos os sub-contêineres. Para gerenciar sub-contêineres criados por outros, um administrador deve conceder as permissões necessárias por meio de uma política RAM.