home..

컨테이너의 모든것

August 2024 (727 Words, 5 Minutes)

mont-kim Docker Container LXC

컨테이너 격리 🚧

리눅스 프로세스 격리 기술 발전

[https://speakerdeck.com/kakao/ige-dwaeyo-dokeo-eobsi-keonteineo-mandeulgi?slide=200](https://speakerdeck.com/kakao/ige-dwaeyo-dokeo-eobsi-keonteineo-mandeulgi?slide=200)

https://speakerdeck.com/kakao/ige-dwaeyo-dokeo-eobsi-keonteineo-mandeulgi?slide=200

시간이 지남에따라 저런 형태의 프로세스 격리기술들을 통해 완성된 리눅스 컨테이너는 다음과 같은 격리들을 갖고있습니다.

Kernel namespaces
- IPC, UTS, mount, PID, network, user을 이용한 시스템 자원 격리
Apparmor and SELinux profiles
- 보안 정책
Seccomp policies
- 보안 정책2
Chroots (using pivot_root)
- 파일 시스템을 격리하여 프로세스가 호스트 파일 시스템에 엑세스 방지
Kernel capabilities
- 컨테이너의 프로세스 권한 제한
CGroups (control groups)
- 리소스 사용량 제한 (CPU, 메모리, Disk I/O 등)

Docker도 결국 이런것들을 이용해 컨테이너 기술을 이용한것 뿐이며, Docker를 이용하지 않아도 컨테이너를 이용할 방법은 있습니다.

LXC를 이용한 컨테이너 만들기

sudo apt update
sudo apt install lxc lxc-templates

lxc-create -n mynginx -t download
lxc-create -n mynginx -t download -- --dist ubuntu --release focal --arch amd64

sudo lxd init
lxc launch ubuntu:22.04 mynginx

lxc info

컨테이너로 들어가는 명령어는 다음과 같습니다.

lxc exec mynginx -- bash

lxc 명령어를 이용해 생성했던 컨테이너의 네트워크 바인딩을 직접 설정할수도 있습니다.

lxc config device add mynginx myport80 proxy listen=tcp:0.0.0.0:9000 connect=tcp:127.0.0.1:80

Cgroup의 자원격리

[https://wizardzines.com/comics/cgroups/](https://wizardzines.com/comics/cgroups/)

https://wizardzines.com/comics/cgroups/

cgroup은 컨테이너의 자원을 격리하는 기술입니다.

cgroup v1, v2가 존재하며 v2는 v1에 비해 자원계층구조의 가시성을 향상시켰습니다.

추가적으로 cgroup v1에서는 request, limit 두개의 자원설정만이 가능했는데, cgroup v2에서는 memoryQoS라는 기능을 추가하여 컨테이너 등에서 쉽사리 OOM이 나지않게 하는 기능들을 지원합니다.

Memory High : 메모리 사용량 조절 제한. cgroup의 사용량이 높은 경계를 초과하면 cgroup의 프로세스가 제한되고 회수 압력이 커집니다.

상한을 초과해도 OOM 킬러가 호출되지 않으며 극단적인 상황에서는 한도가 위반될 수 있습니다. 높은 제한은 과도한 회수 압력을 완화하기 위해 외부 프로세스가 제한된 cgroup을 모니터링하는 시나리오에서 사용해야 합니다.

memory.high Memory usage throttle limit. If a cgroup’s usage goes over the high boundary, the processes of the cgroup are throttled and put under heavy reclaim pressure. Going over the high limit never invokes the OOM killer and under extreme conditions the limit may be breached. The high limit should be used in scenarios where an external process monitors the limited cgroup to alleviate heavy reclaim pressure.