Docker 컨테이너의 파일 시스템 탐색

도커와 함께 컨테이너 내부에서 발생하는 일이나 그 안에 존재하는 파일을 이해해야한다는 것을 알았습니다. 한 가지 예는 docker index에서 이미지를 다운로드하는 것입니다. 이미지에 포함 된 단서가 없으므로 응용 프로그램을 시작할 수 없습니다.

이상적인 것은 이것들이나 그와 동등한 것으로 ssh 할 수 있다는 것입니다. 이것을 할 수있는 도구가 있습니까, 아니면 내가 이것을 할 수 있어야한다고 생각하는 docker에 대한 개념화가 잘못 되었습니까?

UPDATE
가장 쉬운 방법 : 고정 표시기 간부를 사용하여

Docker 버전 1.3 이상은와 exec유사한 동작을 지원합니다 nsenter. 이 명령은 이미 실행중인 컨테이너에서 새 프로세스를 실행할 수 있습니다 (컨테이너에는 PID 1 프로세스가 이미 실행 중이어야 함). /bin/bash컨테이너 상태를 탐색하기 위해 실행할 수 있습니다 .

docker exec -t -i mycontainer /bin/bash

Docker 명령 행 설명서를 참조하십시오.

다른 방법 1
스냅 샷

컨테이너 파일 시스템을 다음과 같이 평가할 수 있습니다.

# find ID of your running container:
docker ps

# create image (snapshot) from container filesystem
docker commit 12345678904b5 mysnapshot

# explore this filesystem using bash (for example)
docker run -t -i mysnapshot /bin/bash

이런 식으로 정확한 시간에 실행중인 컨테이너의 파일 시스템을 평가할 수 있습니다. 컨테이너가 여전히 실행 중이며 향후 변경 사항이 포함되지 않습니다.

나중에 실행중인 컨테이너의 파일 시스템에는 영향을 미치지 않습니다.를 사용하여 스냅 샷을 삭제할 수 있습니다.

docker rmi mysnapshot

대체 방법 2
ssh

지속적인 액세스가 필요한 경우 컨테이너에 sshd를 설치하고 sshd 데몬을 실행할 수 있습니다.

 docker run -d -p 22 mysnapshot /usr/sbin/sshd -D

 # you need to find out which port to connect:
 docker ps

이렇게하면 ssh를 사용하여 앱을 실행할 수 있습니다 (원하는 것을 연결하고 실행하십시오).

업데이트 : 대체 방법 3
nsenter

사용 nsenter은 https://web.archive.org/web/20160305150559/http://blog.docker.com/2014/06/why-you-dont-need-to-run-sshd-in-docker/를 참조 하십시오.

짧은 버전은 다음과 같습니다. nsenter를 사용하면 해당 컨테이너가 SSH 또는 특수 목적 데몬을 실행하지 않더라도 기존 컨테이너로 쉘을 가져올 수 있습니다.

업데이트 : 탐험 중!

이 명령을 사용 하면 실행중인 도커 컨테이너 를 탐색 할 수 있습니다 .

docker exec -it name-of-container bash

docker-compose에서 이에 해당하는 내용은 다음과 같습니다.

docker-compose exec web bash

(이 경우 web은 서비스 이름이며 기본적으로 tty가 있습니다.)

당신이 안으로 들어가면 :

ls -lsa

또는 다음과 같은 다른 bash 명령 :

cd ..

이 명령을 사용 하면 도커 이미지 를 탐색 할 수 있습니다 .

docker run --rm -it --entrypoint=/bin/bash name-of-image

일단 안으로 :

ls -lsa

또는 다음과 같은 다른 bash 명령 :

cd ..

-it대화 형 및 tty 의 약자.

이 명령을 사용 하면 실행중인 도커 컨테이너 또는 이미지 를 검사 할 수 있습니다 .

docker inspect name-of-container-or-image

이 작업을 수행하고 싶 bash거나sh 있습니다. json return에서 entrypoint 또는 cmd를 찾으십시오.

docker exec documentation 참조

docker-compose exec 문서를 참조하십시오

docker inspect documentation 참조

컨테이너가 멈췄거나 쉘이없는 경우 (예 : 설치 안내서에hello-world 언급 되거나alpine traefik ) 파일 시스템을 탐색하는 유일한 방법 일 수 있습니다.

컨테이너의 파일 시스템을 tar 파일로 보관할 수 있습니다 :

docker export adoring_kowalevski > contents.tar

또는 파일을 나열하십시오.

docker export adoring_kowalevski | tar t

이미지에 따라 시간과 디스크 공간이 걸릴 수 있습니다.

컨테이너의 파일 시스템은 docker의 데이터 폴더에 있으며 일반적으로 / var / lib / docker에 있습니다. 실행중인 컨테이너 파일 시스템을 시작하고 검사하려면 다음을 수행하십시오.

hash=$(docker run busybox)
cd /var/lib/docker/aufs/mnt/$hash

그리고 현재 작업 디렉토리는 컨테이너의 루트입니다.

컨테이너 생성 전 :

컨테이너 안에 장착 된 이미지의 구조를 탐색하려면 다음을 수행하십시오.

sudo docker image save image_name > image.tar
tar -xvf image.tar

이것은 이미지의 모든 레이어와 json 파일에 존재하는 구성의 가시성을 제공합니다.

컨테이너 생성 후 :

이를 위해 위의 답변이 이미 많이 있습니다. 이 작업을 선호하는 방법은 다음과 같습니다.

docker exec -t -i container /bin/bash

컨테이너가 실제로 시작될 때 가장 혐오스러운 답변이 효과가 있지만 실행할 수 없을 때 컨테이너에서 파일을 복사하려는 경우 예를 들어 이전에 저를 저장했습니다.

docker cp <container-name>:<path/inside/container> <path/on/host/>

docker cp ( link ) 덕분에 파일 시스템의 다른 부분처럼 컨테이너에서 직접 복사 할 수 있습니다. 예를 들어, 컨테이너 내부의 모든 파일을 복구합니다.

mkdir /tmp/container_temp
docker cp example_container:/ /tmp/container_temp/

재귀 적으로 복사하도록 지정할 필요는 없습니다.

에 우분투 14.04 실행 도커 1.3.1 , 나는 다음과 같은 디렉토리에있는 호스트 시스템의 컨테이너 루트 파일 시스템을 발견 :

/var/lib/docker/devicemapper/mnt/<container id>/rootfs/

전체 도커 버전 정보 :

Client version: 1.3.1
Client API version: 1.15
Go version (client): go1.3.3
Git commit (client): 4e9bbfa
OS/Arch (client): linux/amd64
Server version: 1.3.1
Server API version: 1.15
Go version (server): go1.3.3
Git commit (server): 4e9bbfa

사용해보십시오

docker exec -it <container-name> /bin/bash

bash가 구현되지 않았을 수 있습니다. 당신이 사용할 수있는

docker exec -it <container-name> sh

나는 aufs / devicemapper에 독립적 인 또 다른 더러운 트릭을 사용합니다.

컨테이너가 실행중인 명령을보고 예를 들어 docker ps 아파치이거나 java다음과 같이하면됩니다.

sudo -s
cd /proc/$(pgrep java)/root/

용기 안에 들어 있습니다.

기본적으로 /proc/<PID>/root/컨테이너가 프로세스를 실행하는 한 루트 CD를 폴더에 넣을 수 있습니다 . 심볼릭 링크는 해당 모드를 사용하는 것이 의미가 없습니다.

컨테이너가 실제 Linux 시스템이 아닌 경우를 제외하고 가장 많이 투표 된 답변이 좋습니다.

많은 컨테이너 (특히 이동 기반 컨테이너)에는 표준 바이너리 (아니오 /bin/bash또는 /bin/sh)가 없습니다 . 이 경우 실제 컨테이너 파일에 직접 액세스해야합니다.

매력처럼 작동합니다.

name=<name>
dockerId=$(docker inspect -f {{.Id}} $name)
mountId=$(cat /var/lib/docker/image/aufs/layerdb/mounts/$dockerId/mount-id)
cd /var/lib/docker/aufs/mnt/$mountId

참고 : 루트로 실행해야합니다.

내 경우에는를 제외하고 컨테이너에서 쉘이 지원되지 않았습니다 sh. 그래서 이것은 매력처럼 작동했습니다.

docker exec -it <container-name> sh

다이빙을 사용하여 TUI로 대화식으로 이미지 컨텐츠를 볼 수 있습니다

https://github.com/wagoodman/dive

이미지에 대한 bash 세션이 시작됩니다.

도커 실행 --rm -it --entrypoint = / bin / bash

나에게 이것은 잘 작동합니다 ( / var / lib / docker / 디렉토리를 지적한 마지막 주석 덕분에 ).

chroot /var/lib/docker/containers/2465790aa2c4*/root/

여기서 2465790aa2c4 는 실행중인 컨테이너의 짧은 ID ( docker ps 로 표시됨 )와 별표입니다.

Docker의 최신 버전에서는 docker exec [container_name]컨테이너 내부에서 셸을 실행하는 Docker를 실행할 수 있습니다.

컨테이너의 모든 파일 목록을 얻으려면 실행하십시오. docker exec [container_name] ls

docker aufs 드라이버의 경우 :

스크립트는 컨테이너 루트 디렉토리를 찾습니다 (docker 1.7.1 및 1.10.3 테스트)

if [ -z "$1" ] ; then
 echo 'docker-find-root $container_id_or_name '
 exit 1
fi
CID=$(docker inspect   --format {{.Id}} $1)
if [ -n "$CID" ] ; then
    if [ -f  /var/lib/docker/image/aufs/layerdb/mounts/$CID/mount-id ] ; then
        F1=$(cat /var/lib/docker/image/aufs/layerdb/mounts/$CID/mount-id)
       d1=/var/lib/docker/aufs/mnt/$F1
    fi
    if [ ! -d "$d1" ] ; then
        d1=/var/lib/docker/aufs/diff/$CID
    fi
    echo $d1
fi

기존 답변 중 컨테이너가 종료되었거나 다시 시작할 수 없으며 / 또는 쉘이 설치되지 않은 컨테이너 (예 : 무분별한 컨테이너)의 경우를 다루지 않습니다. Docker 호스트에 루트 액세스 권한이있는 한 작동합니다.

실제 수동 검사를 위해서는 먼저 레이어 ID를 찾으십시오.

docker inspect my-container | jq '.[0].GraphDriver.Data'

출력에서 다음과 같이 보일 것입니다

"MergedDir": "/var/lib/docker/overlay2/03e8df748fab9526594cfdd0b6cf9f4b5160197e98fe580df0d36f19830308d9/merged"

컨테이너 파일 시스템의 현재 보이는 상태를 찾으려면이 폴더 (루트로)를 탐색하십시오.

이 답변은 컨테이너가 실행 중이 아니더라도 도커 볼륨 파일 시스템을 탐색하려는 사람들과 같은 사람들에게 도움이 될 것입니다.

실행중인 도커 컨테이너를 나열하십시오.

docker ps

=> 컨테이너 ID "4c721f1985bd"

로컬 물리적 시스템에서 도커 볼륨 마운트 지점을 확인하십시오 ( https://docs.docker.com/engine/tutorials/dockervolumes/ ).

docker inspect -f {{.Mounts}} 4c721f1985bd

=> [{/ tmp / container-garren / tmp true rprivate}]

이것은 로컬 물리적 시스템 디렉토리 / tmp / container-garren이 / tmp 도커 볼륨 대상에 매핑되었음을 나타냅니다.

로컬 물리적 시스템 디렉토리 (/ tmp / container-garren)를 아는 것은 도커 컨테이너가 실행 중인지 여부에 관계없이 파일 시스템을 탐색 할 수 있음을 의미합니다. 이것은 컨테이너가 실행되지 않은 후에도 지속되지 않아야 할 잔여 데이터가 있음을 파악하는 데 중요했습니다.

또 다른 트릭은 원자 도구 를 사용하여 다음과 같은 작업을 수행하는 것입니다.

mkdir -p /path/to/mnt && atomic mount IMAGE /path/to/mnt

Docker 이미지는 검사하기 위해 / path / to / mnt 에 마운트됩니다 .

리눅스 전용

내가 사용하는 가장 간단한 방법은 proc dir을 사용하는 것인데, 도커 컨테이너 파일을 검사하려면 컨테이너가 실행 중이어야합니다.

1. 컨테이너의 프로세스 ID (PID)를 찾아 변수에 저장

   PID = $ (docker inspect -f '{{.State.Pid}}'컨테이너-이름-여기)

2. 컨테이너 프로세스가 실행 중인지 확인하고 변수 이름을 사용하여 컨테이너 폴더로 이동하십시오.

   cd / proc / $ PID / root

이 긴 명령을 사용하여 PID 번호를 찾지 않고 디렉토리를 통과하려면

cd /proc/$(docker inspect -f '{{.State.Pid}}' your-container-name-here)/root

팁 :

컨테이너 내부에 들어간 후에는 서비스 중지 또는 포트 번호 변경과 같은 모든 작업이 컨테이너의 실제 프로세스에 영향을 미칩니다.

그것이 도움이되기를 바랍니다.

노트 :

이 방법은 컨테이너가 여전히 실행중인 경우에만 작동합니다. 그렇지 않으면 컨테이너가 중지되거나 제거 된 경우 디렉토리가 더 이상 존재하지 않습니다.

컨테이너 내부에서 일어나는 일을 이해하는 가장 좋은 방법은 다음과 같습니다.

1. 노출 -p 8000

   docker run -it -p 8000:8000 image
   

2. 그 안에 서버를 시작

   python -m SimpleHTTPServer
   

이미 실행중인 컨테이너의 경우 다음을 수행 할 수 있습니다.

dockerId=$(docker inspect -f {{.Id}} [docker_id_or_name])

cd /var/lib/docker/btrfs/subvolumes/$dockerId

해당 디렉토리로 들어가려면 루트 여야합니다. 루트가 아닌 경우 명령을 실행하기 전에 'sudo su'를 시도하십시오.

편집 : v1.3 이후에는 Jiri의 답변을 참조하십시오.

Docker v19.03을 사용하는 경우 다음 단계를 수행하십시오.

# find ID of your running container:

  docker ps

# create image (snapshot) from container filesystem

  docker commit 12345678904b5 mysnapshot

# explore this filesystem 

  docker run -t -i mysnapshot /bin/sh

AUFS 스토리지 드라이버를 사용하는 경우 내 docker-layer 스크립트를 사용하여 컨테이너의 파일 시스템 루트 (mnt) 및 readwrite 레이어를 찾을 수 있습니다.

# docker-layer musing_wiles
rw layer : /var/lib/docker/aufs/diff/c83338693ff190945b2374dea210974b7213bc0916163cc30e16f6ccf1e4b03f
mnt      : /var/lib/docker/aufs/mnt/c83338693ff190945b2374dea210974b7213bc0916163cc30e16f6ccf1e4b03f

2018-03-28 편집 :
docker-layer가 docker-backup 으로 대체되었습니다.

docker exec명령은 여러 경우에 도움이 될 수 있습니다 실행중인 컨테이너에서 명령을 실행합니다.

사용법 : docker exec [옵션] 컨테이너 명령 [ARG ...]

실행중인 컨테이너에서 명령을 실행하십시오.

옵션 :
  -d, --detach 분리 모드 : 백그라운드에서 명령 실행
      --detach-keys string 분리를위한 키 시퀀스를 재정의합니다.
                             컨테이너
  -e, --env list 환경 변수 설정
  -i, --interactive 연결되어 있지 않아도 STDIN을 열어 둡니다
      --privileged 명령에 확장 권한을 부여합니다
  -t, --tty 의사 TTY 할당
  -u, --user string 사용자 이름 또는 UID (형식 :
                             [:])
  -w, --workdir string 컨테이너 내의 작업 디렉토리

예를 들면 다음과 같습니다.

1) bash에서 실행중인 컨테이너 파일 시스템에 액세스 :

docker exec -it containerId bash 

2) 필요한 권한을 가질 수 있도록 루트로 실행중인 컨테이너 파일 시스템에 대한 bash 액세스 :

docker exec -it -u root containerId bash  

이것은 컨테이너에서 루트로 일부 처리를 수행 할 수있는 경우 특히 유용합니다.

3) 특정 작업 디렉토리로 bash에서 실행중인 컨테이너 파일 시스템에 액세스 :

docker exec -it -w /var/lib containerId bash 

다음과 같이 컨테이너 내부에서 bash를 실행할 수 있습니다. $ docker run -it ubuntu /bin/bash