Docker for AWS(Azure) のSwarmAPIを外部からアクセス可能にする

Docker for AWS(Azure)はMoby Linuxと名付けられたbusyboxベースのOSに...
まあ詳しくはこれを見てくれ。 Docker for AWS 試してみた その1 - Qiita

以下、DockerForなんとかは D4xと呼称します。イメージの名前とかがそうなってるし。

Docker APIへの標準的なアクセスについて。

さて、D4xの操作はドキュメントによるとマネージャノードの専用コンテナにSSHでログインするか、トンネルを貼るという案内だ。

• 参考: Deploying Apps on AWS/Azure

D4xはベータ申込者(AWSならアカウントID)に対してDocker社からShareされたAMIをCloudFormation(以下CFn)で起動する。
この特性上、テンプレートを操作してしまえばいかようにでもカスタマイズは可能のように思えるけど、そもそもbusyboxベースからカスタマイズするのはかったるい。

もちろん、コントロール用のDockerコンテナはホストのDockerデーモンをソケット経由で操作できるので、通常の利用ならまったく困らないという感じである。
なるべく仕組みに乗っかるためには、今回のようにAPIを外部公開してーなーという要件に対してはサービスを作ってしまうのが良さそう。

サービス用Nginx

要は一点、/var/run/docker.sockをマウントしたNginxのコンテナにプロキシさせればよいのだった。

コード: https://github.com/sawanoboly/docker-socket-proxy-for-docker-for-aws_azure/tree/master
イメージ: https://hub.docker.com/r/sawanoboly/nginx-dsp/

とりあえずシンプルにproxy_pass http://unix:/var/run/docker.sock;でOK。

user  root;
worker_processes  1;

error_log  /var/log/nginx/error.log warn;
pid        /var/run/nginx.pid;


events {
    worker_connections  1024;
}


http {
    include       /etc/nginx/mime.types;
    default_type  application/octet-stream;

    log_format  main  '$remote_addr - $remote_user [$time_local] "$request" '
                      '$status $body_bytes_sent "$http_referer" '
                      '"$http_user_agent" "$http_x_forwarded_for"';

    access_log  /var/log/nginx/access.log  main;

    sendfile        on;
    #tcp_nopush     on;

    keepalive_timeout  65;

    #gzip  on;

    # include /etc/nginx/conf.d/*.conf;

    server {
      listen       80;
      server_name  _;

      location / {
        root   /usr/share/nginx/html;
        index  index.html index.htm;
        proxy_pass http://unix:/var/run/docker.sock;
      }

      error_page   500 502 503 504  /50x.html;
      location = /50x.html {
          root   /usr/share/nginx/html;
      }
    }
}

Docker Service

イメージをDockerhubなりどこかにpushした後、bindマウントをつけながら起動しましょう。
特別なことは一点だけ。デプロイする対象の絞込をnode.role == managerにするとmanager担当のノードでだけDockerコンテナが起動します。
Worker側に立ってしまうとSwarm系のAPIが使えないのよね。

docker service create \
  --name nginx-dsp \
  -p 80:80 \
  --replicas 3 \
  --mount type=bind,source=/var/run/docker.sock,target=/var/run/docker.sock \
  --mount type=bind,source=/usr/bin/docker,target=/usr/bin/docker \
  --constraint 'node.role == manager' \
  sawanoboly/nginx-dsp:latest

dockerコマンドはデバッグ用なので外してもOK。/var/log/nginxのあたりもお好みで。

Curlでテスト

さて、サービスが作れたらば、Dockerサービス用のELBにリクエストしてみよう。docker service ls相当のAPIをコール。

$ curl -s http://xxxxxx-elb-xxxxxxxx.us-east-1.elb.amazonaws.com/services | jq .
[
  {
    "ID": "68tcz6xvcj9iw1yvy77gcajx5",
    "Version": {
      "Index": 148
    },
    "CreatedAt": "2016-08-16T05:08:26.089395158Z",
    "UpdatedAt": "2016-08-16T05:08:26.100058581Z",
    "Spec": {
      "Name": "nginx-dsp",
      "TaskTemplate": {
        "ContainerSpec": {
          "Image": "sawanoboly/nginx-dsp:latest",
          "Mounts": [
            {
              "Type": "bind",
              "Source": "/var/run/docker.sock",
              "Target": "/var/run/docker.sock"
            },
            {
              "Type": "bind",
              "Source": "/var/log/nginx",
              "Target": "/var/log/nginx"

...

できました。 ※認証はNginxでやろうね。。。

おわりに

今回はrootでnginxを起動しちゃったが、CFnテンプレートを参考にして/etc/passwdなどをマウントしてからdockerユーザーで起動するように変えておこう。

D4xはカスタマイズするより、k8sのように専用のサービスを追加する形がよいですね。スケジュールジョブとかもイメージを作ってサービスにしましょ。

---

追記： Basic認証の追加とユーザーをDockerに変更する処理をいれました。

使い方はこちら。 https://github.com/sawanoboly/docker-socket-proxy-for-docker-for-aws_azure