在Docker容器中不需要运行sshd的原因浅析
当开始使用Docker时，人们经常问：“我该如何进入容器？”，其他人会说“在你的容器里运行一个SSH服务器”。但是，从这篇博文中你将会了解到你根本不需要运行SSHd守护进程来进入你的容器。当然，除非你的容器就是一个SSH服务器。
运行SSH服务器是很想当然的，因为它提供了进入容器的简便方式。在我们公司基本上每个人都最少使用过一次SSH。我们中有很大一部分人每天都会使用它，并且他们很熟悉公钥与私钥，无密码登录，密钥代理，甚至有时会使用端口转发和其他不常用的功能。正因如此，人们建议你在容器中运行SSH并不奇怪。但你应该仔细考虑下。
假设你正在假设一个Redis Server或Java Webservice的Docker镜像, 我会问你以下几个问题:
你需要用SSH来做什么"color: #ff0000">备份我的数据"color: #ff0000">检查日志" 容器（使用--volumes-from，还记得么"color: #ff0000">重启service"htmlcode">
很简单吧! 修改我的配置文件 如果你正在执行一个持久的配置变更，你最好把他的改变放在image中，因为如果你又启动一个container，那么服务还是使用的老的配置，你的配置变更将丢失。所以，没有您的SSH访问！“但是我需要在服务存活期间，改变我的配置；例如增加一个新的虚拟站点！”这种情况下，你需要使用……等待……volume！配置应该在volume中，并且该volume应该和一个特殊目的“配置编辑器”容器共享。你可以在这个容器中使用任何你喜欢的东西：SSH + 你最喜欢的编辑器，或一个接受API调用的web服务，或一个从外部源抓取信息的定时任务；诸如此类。另外，分离关注：一个容器运行服务，另外一个处理配置更新。“但是我做临时更改，因为我正在测试不同的值！”在这种情况下，查看下一章节！ 调试我的应用？ 这可能是唯一需要进入container的场景了。因为你要运行gdb, strace, tweak配置，等。这种情况下，你需要 nsenter。 介绍 nsenter nsenter是一个小的工具，用来进入命名空间中。技术上，它可以进入现有的命名空间，或者产生一个进程进入新的一组命名空间。“命名空间是什么"color: #ff0000">从哪里获得 nsenter ？ 在GitHub上查看 jpetazzo/nsenter 。简单的安装是： 它将会把 nsenter 安装到 /usr/local/bin 中，你就可以立刻使用它了。 nsenter 也可以在你的发行版中获得（在 util-linux 包中）。 如何使用？ 首先，计算出你要进入容器的PID： 然后进入容器： 在容器里，可以操作shell解析器。如果要想以自动化的方式来运行特殊的脚本或程序，把它作为参数添加到nsenter中。除了它使用容器代替了简单目录来工作外，它的工作方式有点像chroot。 远程访问怎么样？ 如果你需要从一个远程主机进入一个容器，有（至少）两个方法： SSH 进入 Docker 主机，并使用 nsenter; SSH 进入 Docker 主机，通过一个特殊的密钥参数授权esenter命令 (也就是，nsenter)。 第一种方法相对简单；但是需要root权限访问Docker主机（从安全角度来说不是很好）。第二种方法在 SSH 的 authorized_keys 文件中使用 command= 模式。你可能熟悉 “古典的” authorized_keys文件，它看起来像这样： ssh-rsa AAAAB3N…QOID== jpetazzo@tarrasque （当然，实际上一个真正的密钥是很长的，一般都会占据好几行。）你也可以强制使用一个专有的命令。如果你想要在你的系统上查看一个远程的主机上可以有效使用的内存，可以使用SSH密钥，但是你不会希望交出所有的shell权限，你可以在authorized_keys文件中输入下面的内容： 现在，当使用专有的密钥进行连接时，替换取得的shell，它可以执行free命令。除此之外，就不能做其他的。（通常，你可能还想要添加no-port-forwarding；如果希望了解更多信息可以查看authorized_keys(5)的手册（manpage））。这种机制的关键是使得责任分离。Alice把服务放在容器内部；她不用处理远程的访问，登陆等事务。Betty会添加SSH层，在特殊情况（调试奇怪的问题）下使用。Charlotte会考虑登陆。等等。 总结 在一个容器中运行SSH服务器，这真的是一个错误（大写字母W）吗？老实说，没那么严重。当你不去访问Docker主机的时候，这样做甚至是极其方便的，但是这仍然需要在容器中取得一个shell。除此之外，我们还有许多方式可以在容器中运行SSH服务器，并能取得所有我们想要的特性，而且其架构还非常清晰。Docker允许你使用任何最适合你的工作流。但是，在做这些之前，迅速步入“我的容器真的是一个小的VPS”这句流行语的（语境）时，请注意还有其他的解决方案，这样你才可以做出一个明智的决定。 以上所述是小编给大家介绍的在Docker容器中不需要运行sshd的原因浅析，希望对大家有所帮助，如果大家有任何疑问请给我留言，小编会及时回复大家的。在此也非常感谢大家对网站的支持！
# Starting the service
CID=$(docker run -d -v /var/run fooservice)
# Restarting the service with a sidekick container
docker run --volumes-from $CID fooservice fooctl restart
docker run -v /usr/local/bin:/target jpetazzo/nsenter
PID=$(docker inspect --format {{.State.Pid}} <container_name_or_ID>)
nsenter --target $PID --mount --uts --ipc --net --pid
command="free" ssh-rsa AAAAB3N…QOID== jpetazzo@tarrasque
下一篇：VirtualBox 配置虚拟网卡(桥接),实现主机-虚拟机网络互通（图文教程）