Montar o conteúdo do contêiner do Docker no sistema de arquivos host

Quero poder inspecionar o conteúdo de um contêiner do Docker (somente leitura). Uma maneira elegante de fazer isso seria montar o conteúdo do contêiner em um diretório. Estou falando de montar o conteúdo de um contêiner no host, não de montar uma pasta no host dentro de um contêiner.

Percebo que há dois drivers de armazenamento no Docker agora: aufs e btrfs. Minha própria instalação do Docker usa btrfs e a navegação em / var / lib / docker / btrfs / subvolumes mostra um diretório por contêiner do Docker no sistema. No entanto, este é um detalhe de implementação do Docker e parece errado montar - vincule esses diretórios em outro lugar.

Existe uma maneira adequada de fazer isso ou preciso corrigir o Docker para oferecer suporte a esses tipos de montagens?

Dê uma olhada docker export.

Para listar rapidamente os arquivos no seu contêiner:

docker export CONTAINER|tar -t

Exportar:

docker export CONTAINER>snapshot.tar
docker export CONTAINER|tar x PATH-IN-CONTAINER

Ou para olhar para um arquivo:

docker export CONTAINER|tar x --to-stdout PATH-IN-CONTAINER
# e.g. 
docker export consul|tar x --to-stdout etc/profile

O Docker 1.8 oferece suporte ao cp :

https://docs.docker.com/reference/commandline/cp/

Usage:  docker cp [options] CONTAINER:PATH LOCALPATH|-
        docker cp [options] LOCALPATH|- CONTAINER:PATH

update: você deve fazer o ssh na sua máquina docker quando executar isso.

Você pode usar o docker commit para manter o estado atual do seu contêiner em uma nova imagem e iniciar um contêiner interativo a partir dessa imagem para inspecionar o conteúdo.

A partir da documentação:

Pode ser útil confirmar as alterações ou configurações do arquivo de um contêiner em uma nova imagem. Isso permite depurar um contêiner executando um shell interativo ou exportar um conjunto de dados em funcionamento para outro servidor.

Espero que isto ajude.

Você pode usar o nsenter para executar seu programa de inspeção (que provavelmente já deve estar incluído no container) dentro de um container / namespace. Mas para montar o sistema de arquivos do contêiner como é visto dentro dele, você deve montar a imagem original e todas as camadas, se houver, ou a ação equivalente para o mapeador de dispositivos, btrfs e os outros mecanismos de armazenamento (futuros) usados, diferentes em cada caso. Provavelmente seria mais eficiente deixar o docker fazer o trabalho para você, exatamente como deveria, e usar o nsenter para fazer a inspeção dentro do contêiner.

Existem outras abordagens. O docker diff mostra quais arquivos foram alterados nesse contêiner, se você quiser ver o que foi alterado em vez do que estava na imagem original.

E para dados que devem ser persistentes e inspecionáveis, provavelmente um padrão melhor seria tê-lo em um volume no contêiner e montá-lo no sistema de arquivos real, ou em um contêiner de dados puro, ou no mesmo contêiner, mas que você pode iniciar outro contêiner com o programa de inspeção montando esses volumes a partir dele.

EDIT: Tentei a solução abaixo e, infelizmente, não funcionou bem para mim na prática. O sistema de arquivos montado não refletia com precisão o sistema de arquivos do contêiner (mesmo com cache=no). Não tenho certeza se este é um problema fundamental ou se estou fazendo algo errado.

Você pode instalar o sshd na imagem do docker e usá-lo docker execpara executar um serviço ssh ( /usr/sbin/sshd -D) no contêiner do docker (observe que a porta SSH 22 do contêiner do docker precisa ser exposta).

Em seguida, use docker cppara copiar sua chave pública ssh para o /root/.ssh/authorized_keysdiretório do contêiner do docker.

Por fim, use docker inspectpara encontrar o endereço IP do contêiner e montar o sistema de arquivos do contêiner usando

sudo sshfs -o allow_other,default_permissions,IdentityFile=/path/to/identityfile  root@xxx.xx.x.x:/ /mnt/my_container

Você teria que escrever um script para fazer isso funcionar confortavelmente na prática.