Docker で MySQL コンテナーがなぜか起動できない問題 #Docker

Ubuntu 上でなぜか MySQL コンテナーが起動せず、ハマりました。ワークアラウンドをメモしておきます。

再現環境

Ubuntu 16.04.2 LTS 64bit (on Vagrant)

現象

以下のような docker-compose.yml を作成して、 docker-compose up -d db で起動しようとしても、 Exit 1 で終了してしまいます。

docker-compose.yml

version: '2'
services:
db:
    image: mysql:5.6
    ports:
        - "3302:3306"
    environment:
        - TZ=JST-9
        - MYSQL_USER=foo
        - MYSQL_PASSWORD=foo
        - MYSQL_ROOT_PASSWORD=foo
        - MYSQL_DATABASE=foo
    volumes:
        - ~/foobar/db/mysql/dump/:/docker-entrypoint-initdb.d/
        - ~/foobar/db/mysql/conf/:/etc/mysql/conf.d
    privileged: true
    networks:
        - datastore

起動してみる:

$ docker-compose up -d db
Starting db

$ docker-compose ps
     Name                  Command             State            Ports          
------------------------------------------------------------------------------
db               docker-entrypoint.sh mysqld   Exit 1

起動時のエラーログは以下:

$ docker-compose logs db
Attaching to db
db  | 
db  | ERROR: mysqld failed while attempting to check config
db  | command was: "mysqld --verbose --help --log-bin-index=/tmp/tmp.BTfnm2u97W"
db  | 
db  | mysqld: error while loading shared libraries: libpthread.so.0: cannot open shared object file: Permission denied
db  | 
db  | ERROR: mysqld failed while attempting to check config
db  | command was: "mysqld --verbose --help --log-bin-index=/tmp/tmp.Q0noJONZOp"
db  | 
db  | mysqld: error while loading shared libraries: libpthread.so.0: cannot open shared object file: Permission denied

なぜか共有ライブラリが Permission Denied でエラーとなっています。

原因

Ubuntu (Debian) では AppArmor というセキュリティ機構が動いており、これが Docker の priviledged モードを阻害していました。

privileged: true にすると、 Docker 内のコンテナーがホストとほぼ同じ権限を持つことができ、例えば Docker in Docker のような環境を構築できます。一方でコンテナー外のリソースまでアクセス可能になってしまい、コンテナー間の疎結合を壊してしまうので、開発用途などを除いて通常は使いません。

ホスト OS 上に MySQL がインストールされている状態で、 Privileged モードを有効にして MySQL コンテナを起動すると、 AppArmor が「許可していないリソース上で MySQL が動作している」と認識し、実行をブロックするようです。

解消方法

以下のいずれかの方法で解消が可能です。

ホストから MySQL を削除する

sudo apt remove mysql-server

AppArmor の監視から MySQL を除外する

sudo ln -s /etc/apparmor.d/usr.sbin.mysqld /etc/apparmor.d/disable/
sudo apparmor_parser -R /etc/apparmor.d/usr.sbin.mysqld
# (単純に /etc/apparmor.d/usr.sbin.mysqld を rm しても OK ですが、上記のようにするのが Ubuntu の流儀)

複雑な問題ですね。

補足

そもそも Privileged を有効にする必要性がよくわかりませんでした。 MySQL コンテナーならデータを入れるだけだし、 networking さえ設定しておけば Privileged は無効にしたままで十分だと思うんですが…。

別チームの人がこの docker-compose.yml を書いたんですが、何がしたかったんでしょうか？今度問い詰めてみます。

Docker で MySQL コンテナーがなぜか起動できない問題

再現環境

現象

原因

解消方法

ホストから MySQL を削除する

AppArmor の監視から MySQL を除外する

補足

参考