Maintain ContainerOS nodes by using an administrative container or the host - Container Service for Kubernetes

Potansiyel güvenlik risklerini azaltmak için ContainerOS, kullanıcıların izlenemeyen işlemler için sisteme doğrudan oturum açmasını engeller. Bir örneğe bakım amacıyla oturum açmanız gerekirse ContainerOS; sorun giderme ve paket yükleme gibi rutin olmayan görevler için özel bir yönetimsel konteyner sağlar. Bu konuda, yönetimsel konteynerlerde oturum açma, başlatma, durdurma, yeniden başlatma ve durumlarını sorgulama gibi yaygın işlemlerin nasıl yapılacağı açıklanmaktadır.

Bu konu yalnızca Otomatik Mod içinde olmayan düğümler için geçerlidir.

ContainerOS düğümü bakım yöntemleri

Yönetimsel konteyner, ana makine ortamına kıyasla daha fazla yazılım paketi içerir ve YUM paket yöneticisi ile ek paketler yüklemenize olanak tanır. Konteyner üzerinden sistem süreçlerini, ağları ve yapılandırmaları görüntüleyebilirsiniz. Ayrıca ana makineye erişmek için özel bir komut sağlar; bu komut, örneğe Workbench, SSH veya VNC aracılığıyla bağlanmaya eşdeğerdir.

ContainerOS 3,5 ve sonraki sürümlerde kabuk (shell), ana makine ortamından kaldırılmıştır. ContainerOS düğümleriniz için bir bakım yöntemi seçmek üzere aşağıdaki tabloya bakın.

Yöntem

ContainerOS 3,5 ve sonraki sürümler

3,5'ten önceki ContainerOS sürümleri

Yönetimsel konteynere oturum açma

Workbench (yalnızca şifresiz oturum açma)
VNC ile oturum açma

Örneğe bir SSH anahtar çifti bağlı olmalıdır.
Bir düğüm havuzu oluştururken oturum açma kimlik bilgisini bir anahtar çifti olarak ayarlamalısınız. Daha fazla bilgi için bkz. Düğüm havuzları oluşturma ve yönetme.
Mevcut düğüm havuzları için bir SSH anahtar çiftini bir örneğe de bağlayabilirsiniz. Daha fazla bilgi için bkz. SSH anahtar çifti bağlama.
Workbench kullanarak ana makinede oturum açın (yalnızca şifresiz oturum açma).
Yönetimsel konteyneri başlatmak için sudo lifseacli container start komutunu çalıştırın.
SSH kullanarak oturum açın.

Varsayılan olarak SSH hizmeti (sshd) ana makinede devre dışı bırakılır.

Ana makinede oturum açma

Yönetimsel konteynere oturum açtıktan sonra sudo superman komutunu çalıştırın.

Workbench (yalnızca şifresiz oturum açma)
VNC ile oturum açma

ContainerOS düğümlerini korumak için kubectl debug komutunu da kullanabilirsiniz.

ContainerOS 3,5 ve sonraki sürümler için oturum açma yöntemleri

Kategori

Workbench (yalnızca şifresiz oturum açma)

VNC ile oturum açma

Önkoşullar

Yok.

Yönetimsel konteynere Cloud Assistant aracı önceden yüklenmiştir. Manuel olarak yüklemeniz gerekmez.

VNC ile oturum açma parola kimlik doğrulaması gerektirir. Öncelikle şifresiz bir Workbench oturumu aracılığıyla yönetimsel konteyner için bir oturum açma parolası ayarlamalısınız.

Prosedür

ACK konsolu'nda oturum açın. Sol gezinme bölmesinde Clusters öğesini tıklayın.
Clusters sayfasında kümenizin adını tıklayın. Sol gezinme bölmesinde Nodes > Nodes öğesini tıklayın.
Düğümün Actions sütununda More > Workbench Remote Access seçeneklerini seçin.
Şifresiz oturum açmayı tamamlamak için ekrandaki talimatları izleyin.

ACK konsolu'nda oturum açın. Sol gezinme bölmesinde Clusters öğesini tıklayın.
Clusters sayfasında kümenizin adını tıklayın. Sol gezinme bölmesinde Nodes > Nodes öğesini tıklayın.
Düğümün Actions sütununda More > VNC Remote Access seçeneklerini seçin ve kimlik doğrulamayı tamamlamak için ekrandaki talimatları izleyin.

3,5'ten önceki ContainerOS sürümleri için oturum açma yöntemleri

Ana makinede oturum açma

Kategori	Workbench (yalnızca şifresiz oturum açma)	VNC ile oturum açma
Önkoşullar	Düğümün Cloud Assistant hizmetine ağ erişimi olduğundan emin olun.	VNC ile oturum açma parola kimlik doğrulaması gerektirir. Öncelikle şifresiz bir Workbench oturumu aracılığıyla yönetimsel konteyner için bir oturum açma parolası ayarlamalısınız.
Prosedür	ACK konsolu'nda oturum açın. Sol gezinme bölmesinde Clusters öğesini tıklayın. Clusters sayfasında kümenizin adını tıklayın. Sol gezinme bölmesinde Nodes > Nodes öğesini tıklayın. Düğümün Actions sütununda More > Workbench Remote Access seçeneklerini seçin.	ACK konsolu'nda oturum açın. Sol gezinme bölmesinde Clusters öğesini tıklayın. Clusters sayfasında kümenizin adını tıklayın. Sol gezinme bölmesinde Nodes > Nodes öğesini tıklayın. Düğümün Actions sütununda More > VNC Remote Access seçeneklerini seçin ve kimlik doğrulamayı tamamlamak için ekrandaki talimatları izleyin.

Yönetimsel konteynere oturum açma

Önkoşullar

Bir düğüm havuzu oluştururken oturum açma kimlik bilgisini bir anahtar çifti olarak ayarlamalısınız. Daha fazla bilgi için bkz. Düğüm havuzları oluşturma ve yönetme.

Mevcut düğüm havuzları için bir SSH anahtar çiftini bir örneğe de bağlayabilirsiniz. Daha fazla bilgi için bkz. SSH anahtar çifti bağlama.
Cloud Assistant aracı yüklü olmalıdır. Daha fazla bilgi için bkz. Cloud Assistant Aracısını Yükleme.
Güvenlik grubu kurallarınızda 22 numaralı bağlantı noktasına izin verilmelidir. Daha fazla bilgi için bkz. Güvenlik grubu kurallarını yönetme.
ECS örneği için şifresiz oturum açma etkinleştirilmelidir.

Oturum Yönetimi ile Uzaktan Bağlantı sayfasında Şifresiz Oturum Açma sekmesini tıklayın ve tüm bölgeler için oturum yönetiminin etkin olduğunu onaylayın. Geçiş anahtarı etkin (yeşil) durumda olmalıdır.

Ana makine ortamına erişim

ECS konsolu'nda oturum açın ve Cloud Assistant'ın Command paneline gidin. Daha fazla bilgi için bkz. Komutlar oluşturma ve çalıştırma.
Cloud Assistant'ta yönetimsel konteyneri başlatmak için aşağıdaki komutu çalıştırın:
```
sudo lifseacli container start
```
Beklenen çıktı:
```
Downloading docker image...
Successfully downloaded docker image
Successfully start admin container!
```
Çıktı, Cloud Assistant'ın yönetimsel konteyneri başarıyla başlattığını gösterir.
Belirtilen özel anahtarı kullanarak yönetimsel konteynere oturum açmak için yerel makinenizdeki bir terminalden aşağıdaki komutu çalıştırın.
Not
- <ssh-private-key.pem> ifadesini örneğe bağlı anahtar çiftinin özel anahtarıyla değiştirin. <instance-ip> ifadesini örneğin IP adresiyle değiştirin.
- Workbench kullanarak admin olarak da oturum açabilirsiniz. Örneğe bağlı anahtar çiftinden gelen özel anahtarı kullanın. Örneğinizde 22 numaralı bağlantı noktasının açık olduğundan emin olun.
```
ssh -i <ssh-private-key.pem> admin@<instance-ip>
```
Yönetimsel konteynere oturum açtıktan sonra ana makinenin kök dosya sistemi, yönetimsel konteynerdeki /.lifsea/rootfs dizinine salt okunur olarak bağlanır. Sistem bilgilerini ve yapılandırmalarını bulmak için bu bağlantıyı kullanın.
```
$ssh -i mainxt.pem admin@47.99.45.171
Welcome to LifseaOS maintenance container!
This container is based on Alibaba Cloud Linux 3, therefore most things
should behave the same as a Alibaba Cloud Linux 3 VM or container.
Some common tools are pre-installed for debug purpose and you can install
any tools you want through yum.
Also you can access the LifseaOS host root filesystem (see /.lifsea/rootfs)
within the container.
If you want to place yourself in a real LifseaOS host environment, a tool
named "superman" (`sudo superman`) is provided. Once run, you will go
inside the LifseaOS host's rootfs with a root shell.
Enjoy!
[admin@iZbp1inxxxxtziZ ~]$
```
Yönetimsel konteynerden ana makine ortamına erişmek için aşağıdaki komutu çalıştırın.
```
sudo superman
```
Kullanılabilir sistem komutlarını listelemek için ls komutunu çalıştırın.
```
[root@xxxs9Z /]# ls
bin  boot  dev  etc  home  lib  lib64  media  mnt  opt  ostree  proc  root  run  sbin  srv  sys  sysroot  tmp  usr  var
```
Ana makine ortamında yalnızca sınırlı sayıda sistem komutu kullanılabilir.

Yönetimsel konteyneri yönetme

Ana makine ortamına girdikten sonra yönetimsel konteynere dönmek için exit komutunu çalıştırın. Oturumu kapatmak için tekrar exit komutunu çalıştırın. Yönetimsel konteyner çalışmaya devam eder; böylece SSH üzerinden yeniden bağlanabilir veya durdurma, yeniden başlatma ya da silme komutlarını kullanabilirsiniz.

İşlemler	Açıklama
Yönetimsel konteyneri durdurma	`sudo lifseacli container stop`
Yönetimsel konteyneri yeniden başlatma	Yönetimsel konteyneri başlattıktan sonra bir anahtar çifti bağlarsanız veya bağlantısını kaldırırsanız değişikliğin etkili olması için konteyneri yeniden başlatmanız gerekir. `sudo lifseacli container restart`
Yönetimsel konteyneri silme	`sudo lifseacli container rm` Önemli Yönetimsel konteyneri sildiğinizde içine yüklediğiniz tüm yazılımlar veya kaydettiğiniz dosyalar da yok edilir. Yönetimsel konteyneri tekrar başlattığınızda yeni, temiz bir ortam oluşturulur. Kritik verileri yönetimsel konteynerde depolamamanız önerilir.
Yönetimsel konteynerin durumunu sorgulama	`sudo lifseacli container status`

SSS

UNPROTECTED PRIVATE KEY FILE! hatası

Belirtiler

Aşağıdaki hatayı alırsınız:

$ssh -i manxi.pem admin@47
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
@         WARNING: UNPROTECTED PRIVATE KEY FILE!          @
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
Permissions 0644 for 'manxi.pem' are too open.
It is required that your private key files are NOT accessible by others.
This private key will be ignored.
Load key "manxi.pem": bad permissions
Permission denied (publickey,gssapi-keyex,gssapi-with-mic).

Neden

Özel anahtar dosyasındaki izinler çok geniştir.

Çözüm

Özel anahtar dosyasının izinlerini 400 olarak değiştirmek için chmod 400 <ssh-private-key.pem> komutunu çalıştırın. <ssh-private-key.pem> ifadesini özel anahtar dosyanızın adıyla değiştirin.

İlgili belgeler

ContainerOS görüntüsü sürüm notları