Contnerd是什么

Containerd是一个开源的容器运转时工具，它为容器提供了外围性能。作为一个独立的名目，Containerd旨在治理容器的外围性能，如镜像治理、容器生命周期治理、网络和存储治理等。它是由名目中的外围组件分别进去的，用于提供一个愈加轻量级、独立且可嵌入的容器运转时环境。Containerd被设计为一个通用的外围容器运转时，因此许多容器平台和工具都可以构建在其之上，包含Kubees、Docker等。Containerd并不是间接面向终端用户的工具，而是为了提供稳固、牢靠的容器基础设备，让开发者和其余名目可以基于它构建更初级别的容器化处置打算。

与Docker的相关

Docker和Containerd之间有一种父子相关。Containerd实践上是从Docker名目中拆分进去的，是Docker引擎中的外围组件之一。详细来说，DockerEngine在其架构中经常使用了一种插件化的模式，而Containerd就是其中一个关键的组件。DockerEngine的架构涵盖了各种性能模块，其中包含容器构建、镜像治理、容器运转时、网络和存储治理等。Containerd被用作DockerEngine中担任容器生命周期治理和基本操作的外围组件之一。因此，Docker实践上是建设在Containerd之上的运行层工具。当你经常使用Docker命令时，它会与Containerd交互以口头诸如创立、运转和治理容器等操作。但是，Containerd自身愈加通用和形象化，可认为其余容器平台和工具提供底层支持，而不只限于Docker。总体而言，Docker是一个集成了各种工具和性能的容器平台，而Containerd是其中一个外围组件，担任提供基本的容器运转时性能。

装置Containerd

系统消息

[root@localhost~]#cat/etc/redhat-releaserelease7.2.1511(Core)

二进制装置

下载地址?最新版本1.7.10

[root@localhost~]#wget~]#tarxfcri-containerd-1.7.10-linux-amd64.tar.gz-C/

生成Containerd性能

[root@localhost~]#mkdir/etc/containerd[root@localhost~]#containerdconfigdefault>/etc/containerd/config.toml检查性能[root@localhost~]#cat/etc/containerd/config.toml装置好containerd之后，Containerd的性能文件中有如下两项性能:root=/var/lib/containerdstate="/run/containerd"root性能的目录是用来保留耐久化数据的目录，包含content,snapshot,metadata和runtimestate是用来保留运转时的暂时数据的，包含sockets、pid、挂载点、运转时形态以及不须要耐久化的插件数据。

Containerd开机自启

[root@localhost~]#systemctlenable--nowcontainerdCreatedsymlinkfrom/etc/systemd/system/multi-user.target.wants/containerd.serviceto/etc/systemd/system/containerd.service.[root@localhost~]#systemctlstartcontainerd验证其版本[root@localhost~]#containerd--versioncontainerdgithub.com/containerd/containerdv1.7.104e1fe7492b9df85914c389d1f15a3ceedbb280ac

runc验证

自动Containerd装置好就会自带一个runc命令

口头runc命令，假设有版本号前往则为反常[root@localhost~]#runc-vruncversion1.1.10commit:v1.1.10-0-g18a0cb0fspec:1.0.2-devgo:go1.20.10libseccomp:2.5.4

假设运转runc命令时揭示：runc:errorwhileloadingsharedlibraries:?libseccomp.so.2:cannotopensharedobjectfile:Nosuchfileordirectory，则标明runc没有找到libseccomp，须要装置libseccomplibseccomp装置

[root@localhost~]#wget~]#tarxflibseccomp-2.5.4.tar.gz[root@localhost~]#cdlibseccomp-2.5.4/[root@localhost~]#./configure[root@localhost~]#make&&makeinstall查找的到即装置成功[root@localhost~]#find/-name"libseccomp.so"/root/libseccomp-2.5.4/src/.libs/libseccomp.so/usr/local/lib/libseccomp.so

做软链

[root@localhost]#ln-s/usr/local/lib/libseccomp.so/lib64/libseccomp.so.2再次检查[root@localhost]#runc-vruncversion1.1.10commit:v1.1.10-0-g18a0cb0fspec:1.0.2-devgo:go1.20.10libseccomp:2.5.4

也可以二进制runc装置?最新版本：1.1.10

[root@localhost~]#wget~]#chmod+xrunc.amd64查找containerd装置时已装置的runc所在的位置，而后交流[root@localhost~]#whichrunc/usr/local/sbin/runc交流containerd已装置的runc[root@localhost~]#mvrunc.amd64/usr/local/sbin/runc口头runc命令，假设有命令协助则为反常[root@localhost~]#runc-vruncversion1.1.10commit:v1.1.10-0-g18a0cb0fspec:1.0.2-devgo:go1.20.10libseccomp:2.5.4

yum装置

在经常使用yum包治理器装置Containerd之前，须要先设置Containerd的YUM仓库。以下是大抵的步骤：

预备YUM仓库

创立一个名为/etc/yum.repos.d/containerd.repo的文件，并将以下内容参与到该文件中：

[containerd]name=containerdbaseurl=$basearch/stablegpgcheck=1gpgkey=

 装置Containerd


 在设置好仓库文件后，运转以下命令以降级YUM缓存并使其识别新的仓库消息：

[root@localhost~]#yummakecache[root@localhost~]#yuminstall-ycontainerd.io

 启动Containerd

[root@localhost~]#systemctlenablecontainerd[root@localhost~]#systemctlstartcontainerd

 验证Containerd

[root@localhost~]#containerd-vcontainerdcontainerd.io1.6.25d8f198a4ed8892c764191ef7b3b06d8a2eeb5c7f[root@localhost~]#runc-vruncversion1.1.10commit:v1.1.10-0-g18a0cb0spec:1.0.2-devgo:go1.20.10libseccomp:2.3.1

 Containerd经常出现命令操作


 改换Containerd后，以平罕用的docker命令也不再经常使用，取而代之的区分是crictl和ctr两个命令客户端。普通来说某个主机装置了k8s后，命令行才会有crictl命令。而ctr是跟k8s有关的，主机装置了containerd服务后就可以操作ctr命令。


 还有一个更初级点的命令nerdctl，nerdctl是用于containerd并且兼容dockercli习气的治理工具，关键实用于刚从docker转到containerd的用户，操作containerd的命令行工具ctr和crictl不怎样好用，所以就有了nerdctl。



 我们为什么需要pause容器


 【译】The Almighty Pause Container 当我们检查kubernetes集群的node节点时，我们使用docker ps查看时会发现一些名为pause“的容器在节点上运行。
  
  这些“pause”容器是什么？为什么会有这么多pause容器？这是怎么回事呢？ 为了回答这些问题，我们需要去回顾一下这些pods是如何在kubernetes下被创建的，特别是在docker/containerd运行环境。
  
  如果你还不知道这其中的原理，那么请看我的上一篇文章到底什么是Kubernetes Pod？，关于kubernetes pods的一些介绍。
  
  Docker支持以containers的方式部署软件，container也非常适合用来部署单个软件。
  
  但是，当我们想一起运行一个软件的多个模块的时候，这种方式又会变得非常的笨重。
  
  我们会常常遇到这种情况，当开发人员创建了多个docker镜像后，还需要使用监控模块去启动和管理多个进程。
  
  在生产环境下，会发现如果把这些应用部署为一组容器，并将这些容器组彼此分隔，每个容器组共享一个环境，这种方式会更有效。
  
  Kubernetes为应对这种case，提出了pod的抽象概念。
  
  Pod的概念，隐藏了docker中复杂的标志位以及管理docker容器、共享卷及其他docker资源的复杂性。
  
  同时也隐藏了不同容器运行环境的差异。
  
  原则上，任何人只需要创建一个父容器就可以配置docker来管理容器组之间的共享问题。
  
  这个父容器需要能够准确的知道如何去创建共享运行环境的容器，还能管理这些容器的生命周期。
  
  为了实现这个父容器的构想，kubernetes中，用pause容器来作为一个pod中所有容器的父容器。
  
  这个pause容器有两个核心的功能，第一，它提供整个pod的Linux命名空间的基础。
  
  第二，启用PID命名空间，它在每个pod中都作为PID为1进程，并回收僵尸进程。
  
  在Linux中，当我们运行一个新的进程时，这个进程会继承父进程的命名空间。
  
  而运行一个进程在一个新的命名空间，是通过“unsharing”父进程的命名空间从而创建一个新的命名空间。
  
  这里举个例子，使用unshare工具来运行一个具有新PID，UTS，IPC以及mount命名空间的shell。
  
  一旦这个进程运行，我们就可以添加其他进程到这个进程的命名空间，从而组成一个pod。
  
  我们就可以使用setns来添加新的进程到一个已存在的命名空间中。
  
  同一个Pod中的容器共享命名空间，下面举个例子，一起来看我们如何利用pause容器和共享空间来创建一个pod。
  
  首先我们创建一个pause容器。
  
  然后我们可以运行其他容器来组成我们的pod。
  
  先运行nginx，为localhost:2368创建一个代理。
  
  注意，我们也将本机的8080端口代理到pause容器的80端口，而不是代理到nginx容器，这是因为pause容器初始化了网络命名空间，nginx容器将会加入这个命名空间。
  
  进而我们再创建ghost 容器，这是一个博客程序，作为我们的服务端。
  
  通过以上的方法，我们就可以通过访问来查看我们的博客了。
  
  上面的例子中，我们用pause容器为其他容器提供了共享的命名空间。
  
  不难想到，这其中的过程是非常复杂的。
  
  而且我们还没有深入探讨如何去监控和管理这些容器的生命周期。
  
  但是不用担心，我们不需要这么复杂的去管理我们的容器，因为kubernetes已经都为我们做好了。
  
  在Linux中，存在父进程的进程在同一个PID命名空间中会组成一个树形结构。
  
  在这个熟悉结构中，位于根节点的进程没有父进程，这个进程就是PID为1的init进程。
  
  进程可以通过fork和exec系统调用来创建其他进程，而这个使用fork系统调用的进程就成为新建进程的父进程。
  
  Fork用来创建当前进程的另一个拷贝，exec用来运行新的进程以代替当前进程，此时新进程的PID和被替代进程的PID是一样的（为了运行一个完全独立的应用，你需要执行fork以及exec系统调用，使用fork来为当前进程创建一个拥有新PID的子进程，然后当子进程检测他自己是否是子进程时，执行exec从而用你想要运行的进程来替代本身，大多是语言都提供了函数以实现这一方法）。
  
  每个进程在系统进程表里有存在一条记录。
  
  它记录了关于进程状态和退出码的相关信息。
  
  当子进程已经结束运行时，它在进程表中的记录仍然存在，只有当父进程通过使用wait系统调用取回了它的退出码。
  
  这个过程就叫做回收僵尸进程。
  
  僵尸进程意为那些已经停止运行但因为父进程没有释放导致他们在进程表中的记录仍然存在的一类进程。
  
  父进程没有被释放主要是因为没有通过调用wait系统调用。
  
  严格的来说，每个进程在结束时，都会在一小段时间内成为“僵尸”，但这些僵尸进程则会存活的更久。
  
  当父进程在子进程完成后不调用wait的syscall时，就会出现生存时间较长的僵死进程。
  
  一种情况是，父进程编写得很差，并且简单地忽略了wait调用，或者父进程在子进程之前死亡，而新的父进程没有调用wait。
  
  当进程的父进程在子进程之前死亡时，操作系统将子进程分配给“init”进程或PID 1。
  
  例如，init进程“采用”子进程并成为它的父进程。
  
  这意味着，现在当子进程退出时，新的父进程(init)必须调用wait获取它的退出代码，否则它的进程表项将永远保持不变，变成僵尸。
  
  在容器中，每个PID命名空间必须有一个进程作为init进程。
  
  Docker中每个容器通常有自己的PID命名空间，入口点进程是init进程。
  
  但是，在kubernetes pod中，我们可以使容器在另一个容器的命名空间中运行。
  
  在这种情况下，一个容器必须承担init进程的角色，而其他容器则作为init进程的子元素添加到命名空间中。
  
  下面的例子是，我将在nginx容器的PID命名空间中添加ghost容器。
  
  在本例中，nginx扮演PID 1的角色，并添加ghost作为nginx的子进程。
  
  这基本上是可以的，但从技术上讲，nginx现在需要负责管理每一个子进程。
  
  例如，如果ghost fork了子进程或使用exec运行子进程，但ghost又在子进程完成之前崩溃，那么nginx将采用这些ghost的子进程作为自己的子进程。
  
  然而，nginx的设计初衷并不是为了能够以init进程的形式运行并获取僵尸。
  
  针对这一现象，在Kubernetes pods中，容器的运行方式与上面基本相同，但是为每个pod创建了一个特殊的暂停容器。
  
  这个pause容器运行一个非常简单的进程，它不执行任何函数，但本质上是永久休眠的(请参阅下面的pause()调用)。
  
  它是如此简单，我可以包括完整的源代码，在这里写: 如上所见，它不仅仅是休眠。
  
  它的一个重要功能是作为pod中PID 1的角色，当僵尸被父进程孤立时，通过调用wait 来捕获僵尸进程(参见sigreap)。
  
  这样我们就不会让僵尸在Kubernetes pod的PID命名空间中堆积。
  
  值得注意的是，kubernetes在PID命名空间共享方面已经经历了多次反复修改。
  
  如果启用了PID命名空间共享，那么pause容器就可以帮你回收丧尸进程，这一配置目前只在Kubernetes 1.7+中可用。
  
  在Docker 1.13.1+及Kubernetes 1.7运行环境下，这一选项是默认开启的。
  
  你也可以使用kubelet标志禁用它(--docker-disable-share-pid=true)。
  
  但是这一配置又在Kubernetes 1.8中被修改，现在它在默认情况下是禁用的，除非使用kubelet标志(--docker-disable-share-pid=false)启用它。
  
  请参阅关于在这个GitHub问题中添加对PID命名空间共享的讨论。
  
  如果没有启用PID命名空间共享，那么Kubernetes pod中的每个容器都有自己的PID 1，并且每个容器都需要自己捕获僵尸进程。
  
  很多时候这不是一个问题，因为应用程序不会生成其他进程，但是僵尸进程占用内存是一个经常被忽略的问题。
  
  因此，由于PID命名空间共享使我们能够在相同pod中的容器之间发送信号，本人非常希望PID命名空间共享成为Kubernetes中的默认值。


 在实体机可以消费docker中fetch超时


 1、超时原因外部网站，国内访问时可能会超时2、解决方法修改Dockerfile，使用国内的alpine源2.1、正确的做法正确的做法是使用国内源完全覆盖 /etc/apk/repositories在Dockerfile中增加下面的第二行2.2、可能有问题的做法追加国内源（echo后面双大于号），此时可能依然超时，因为默认的/etc/apk/repositories里面就有国外的源追加方法调试一下可以看到默认的国外源在Dockerfile中增加一条命令执行时可以看到全部的源文章知识点与官方知识档案匹配网络技能树首页概览 人正在系统学习中打开CSDN APP，看更多技术内容最新发布 基于alpine进行dockerfile 构建时，修改apk源这里提供一种在dockerfile中修改源的方法：在 RUN的第一步，先修改源，并使其生效。
  
  时，一直卡住，最后显示超时。
  
  这是因为众所周知的原因，只需修改apk的源即可。
  
  在基于alpine进行dockerfile 构建时，当进行到。
  
  继续访问docker Failed to fetch或者 dockerfile: returned a non-zero code: 100在使用docker 创建容器时出现的两个问题：docker Failed to fetchreturned a non-zero code: 100归根到底，就是拉取包时连接不稳定，容器内部apt-get 更新或者拉取包时实在太慢出现的错误问题解决：因为代码放在云服务器上，需要修改apt-get源变为对应的服务商的来加速例如，我的是放在腾讯云上，所以要修改为腾讯源一开始改为清华源和其他的加速源试了也都不行总结，如果是在云服务器上跑docke继续访问Docker/Podman使用提高----Dockerfile的制作基础及常见的问题文章目录基础 build 基础3.构建centos镜像:案例一4.修改后的案例一 与 ENTRYPOINT 的区别 与 COPY 的区别6.常见问题1)超时问题2.启动容器后就直接停止了 基础 Dockerfile要点： 每个保留关键字（指令）都必须是大写字继续访问ERROR:DNS lookup error先说下笔者出现这个问题的场景： 1、内网ubuntu20.04，使用代理服务器进行上网 2、使用Dockerfile构建docker镜像 结果使用docker build -t xxx/xxx .构建docker镜像时，出现下面的错误： fetchERROR:DN继续访问构建docker镜像时ERROR:network error构建docker镜像时ERROR:network error继续访问使用Alpine镜像构建镜像一、alpine介绍 1、Alpine Linux是一个完整的操作系统，像其他操作系统一样，可以将Alpine安装到本地硬盘中，使用apk进行包管理。
  
  包含了以下特点： 小巧：基于Musl libc和busybox，和busybox一样小巧，最小的Docker镜像只有5MB； 安全：面向安全的轻量发行版； 简单：提供APK包管理工具，软件的搜索、安装、删除、升级都非常方便。
  
  适合容器使用：由...继续访问linux指令库 apk,alpine apk 包管理命令使用说明 详解（译至官方文档）Packages and RepositoriesAlpine Linux的软件包是经过数字签名的存档，包含程序，配置文件和依赖关系元数据。
  
  它们具有扩展，通常称为“a-packs”。
  
  包存储在一个或多个存储库中。
  
  存储库只是一个包含* 文件集合的目录。
  
  该目录必须包含一个名为的特殊索引文件，以将其视为存储库。
  
  该APK程序可以从多个仓库安装软件包...继续访问解决Docker构建时出现的 WARNING: IgnoringPermission denied解决Docker构建时出现的 WARNING: IgnoringPermission denied 在根据官网的Docker-compose构建示例项目时遇到的问题，原因是因为无法访问官网给出的外网镜像，可能还会出现 WARNING: Ignoringnetwork error 通过在Dockerfile中继续访问alpine Linux的apk软件包管理器Hping使用方法详解原理基础安装Hping的详细参数具体应用 原理基础 Hping是一个命令行下使用的TCP/IP数据包组装/分析工具，其命令模式很像Unix下的ping命令，但是它不是只能发送ICMP回应请求，它还可以支持TCP、UDP、ICMP和RAW-IP协议，它有一个路由跟踪模式，能够在两个相互包含的通道之间传送文件。
  
  Hping常被用于检测网络和主机，其功能非常强大，可在多种操作系统下运行，如Linux，FreeBSD，NetBSD，OpenBSD，Solaris，MacOs X，Windows。
  
  继续访问Dockerfile构建Alpine镜像/Linux使用apk下载设置资源(字体包/其他)失败/难产进行构建之前注意 如果报OCI runtime create failed: systemd cgroup flag passed, but systemd support for managing cgroups is not available: unknown错误 请将中的exec-opts: [=systemd]删掉 个人问题 我使用Dockerfile构建镜像时,使用Alpine版本的基础镜像包，进行构建一直会卡到 [INFO继续访问CentOS7安装docker经常出现的两个问题这篇文章memo一下CentOS 7安装Docker经常出现的两个问题和对应方法。
  
  继续访问linux alpine系统切换安装源并安装telnet切换源 安装慢 apk add很慢 阿里镜像 sed -i s///g /etc/apk/repositories 科大镜像 sed -i s//mirro继续访问Docker build镜像时，E: Failed to fetchdocker环境下的下载源依旧是国外源导致的，更换为对应版本的国内源即可。
  
  1.在当前目录下，新建, 这里填写的是阿里源，18.04版本 debbionic main restricted universe multiverse debbionic-security main restricted universe multiverse d继续访问linux安装时间太久,为什么在Alpine Linux上安装Pandas需要很长时间我注意到使用基本操作系统Alpine与CentOS或Debian在Docker容器中安装Pandas和Numpy(它的依赖关系)需要更长的时间.我在下面创建了一个小测试来展示时差.除了Alpine更新和下载构建依赖项以安装Pandas和Numpy的几秒钟之外,为什么需要比Debian安装多70倍的时间？有没有办法加速使用Alpine作为基本图像的安装,或者是否有另一个与Alpine...继续访问部署kubernetes官网博客部署kubernetes官网博客 访问有些时候不问题，部署离线内网使用官网以及博客， 各位尝鲜可以访问安装docker root@cby:~#curl-sSL|sh #Executingdockerinsta...继续访问Linux软件包安装(rpm、yum、apt-get、dpkg)Linux RPM 1、RPM 的由来 rpm（英文全拼：redhat package manager） 原本是 Red Hat Linux 发行版专门用来管理 Linux 各项套件的程序，由于它遵循 GPL 规则且功能强大方便，因而广受欢迎。
  
  逐渐受到其他发行版的采用。
  
  RPM 套件管理方式的出现，让 Linux 易于安装，升级，间接提升了 Linux 的适用度 ...继续访问Docker 主要命令详解Docker 简介及其命令详解前言一、Docker 是什么？1. Docker简介2. Docker 组成3. Docker 优点二、Docker 命令详解总结 前言 云计算时代的到来，要求运行环境的部署快速、准确。
  
  而使用Docker来完成环境的部署也被越来越多的企业所选择，所以掌握Docker十分必要。
  
  一、Docker 是什么？ 1. Docker简介 Docker 是一个开源的应用容器引擎，让开发者可以打包他们的应用以及依赖包到一个可移植的镜像中，然后发布到任何流行的 Linux或Window继续访问docker E: Failed to fetch... 404 Not FoundE: Failed to fetch 404Not Found 可能是因为源版本过老 sudo apt-get update 解决继续访问Docker常用命令本次测试的docker版本是Docker version 18.09.0, build 4d60db4 在以前的版本中，具体哪一个我没有仔细研究，docker的配置路径如下： 环境配置文件 /etc/sysconfig/docker-network /etc/sysconfig/docker-storage /etc/sysconfig/docker unit file /usr/lib/sy...继续访问[Docker]Docker官方起步指南学习笔记④——实例之基于Alpine的nodejs服务器本次的目标是基于前三次课的知识，利用Alpine的最小环境，搭建环境，并创建Hello world网页应用；最后将该容器打包成映像，发布到DockerHub上。
  
  继续访问alpine源超时写评论8