ドキュメントに関する現在のご利用体験についてお聞かせください。アンケートにご協力ください。

Kubernetes上のGitLab RunnerでPodmanを使用する

Podmanは、オープンソースのOpen Container Initiative (OCI) ツールで、コンテナの開発、管理、実行に使用されます。

Podmanは、rootユーザーやホスト上での特権昇格なしに、CIジョブ内でコンテナイメージをビルドすることができる設定を提供します。

このドキュメントでは、OpenShiftおよび非OpenShift KubernetesクラスターでPodmanをGitLab Runnerとともに使用するための設定方法に関する情報を説明します。この設定は、rootユーザーおよび非rootユーザーとして設定されたコンテナイメージに適用されます。

非OpenShift KubernetesクラスターでPodmanを実行する

非rootユーザーとしてPodmanを`--privileged`フラグを`true`に設定して実行する

Podmanを--privilegedフラグをtrueに設定して実行すると、コンテナエンジンは、追加のセキュリティ制御の有無にかかわらず、コンテナを起動します。

非rootユーザーとしてPodmanを非rootコンテナプロセスで実行するには:

.gitlab-ci.ymlファイルに以下のサンプルコードを使用して、Podmanでコンテナイメージを作成します:
```
variables:
  HOME: /my_custom_dir
  DOCKER_HOST: tcp://docker:2375

podman-privileged-test:
  image: quay.io/podman/stable
  before_script:
    - podman info
    - id
  script:
    - podman build . -t playground-bis:testing
```
機能フラグを有効にして、環境に合わせてRunnerの動作を調整することもできます。詳細については、利用可能な機能フラグを参照してください。

config.tomlファイルに以下の設定を追加して、デフォルトのuser_idを1000に設定します:

    [runners.kubernetes.pod_security_context]
      run_as_user = 1000
    [runners.kubernetes.build_container_security_context]
      run_as_user = 1000

config.tomlファイルに以下のRunnerの設定を追加します:

listen_address = ":9252"
concurrent = 3
check_interval = 1
log_level = "debug"
log_format = "runner"
connection_max_age = "15m0s"
shutdown_timeout = 0

[session_server]
  session_timeout = 1800

[[runners]]
  name = "investigation"
  limit = 50
  url = "https://gitlab.com/"
  executor = "kubernetes"
  builds_dir = "/my_custom_dir"
  shell = "bash"
  [runners.kubernetes]
    host = ""
    bearer_token_overwrite_allowed = false
    image = ""
    namespace = ""
    namespace_overwrite_allowed = ""
    namespace_per_job = false
    privileged = true
    node_selector_overwrite_allowed = ".*"
    node_tolerations_overwrite_allowed = ""
    pod_labels_overwrite_allowed = ""
    service_account_overwrite_allowed = ""
    pod_annotations_overwrite_allowed = ""
    [runners.kubernetes.volumes]
      [[runners.kubernetes.volumes.empty_dir]]
        name = "repo"
        mount_path = "/my_custom_dir"
    [runners.kubernetes.pod_security_context]
      run_as_user = 1000
    [runners.kubernetes.build_container_security_context]
      run_as_user = 1000

ジョブが期待どおりに成功した場合、ジョブログは次の例のようになります:

...

$ podman build . -t playground-bis:testing
STEP 1/6: FROM docker.io/library/golang:1.24.4 AS builder
Trying to pull docker.io/library/golang:1.24.4...
Getting image source signatures
Copying blob sha256:6564e0d9b89ebe3e93013c7d7fbf4d560c5831ed61448167899654bf22c6dc59
Copying blob sha256:2b238499ec52e0d6be479f948c76ba0bc3cc282f612d5a6a4b5ef52ff45f6b2c
Copying blob sha256:6d11c181ebb38ef30f2681a42f02030bc6fdcfbe9d5248270ee065eb7302b500
Copying blob sha256:600c2555aee6a6bed84df8b8e456b2d705602757d42f5009a41b03abceff02f8
Copying blob sha256:41b754d079e82fafdf15447cfc188868092eaf1cf4a3f96c9d90ab1b7db91230
Copying blob sha256:a355a3cac949bed5cda9c62103ceb0f004727cedcd2a17d7c9836aea1a452fda
Copying blob sha256:4f4fb700ef54461cfa02571ae0db9a0dc1e0cdb5577484a6d75e68dc38e8acc1
Copying config sha256:723e5b94e776fd1a0d4e9bb860400f02acbe62cdac487f114f5bd6303d76fbd9
Writing manifest to image destination
STEP 2/6: WORKDIR "/workspace"
--> 32b9a99335a7
STEP 3/6: COPY . .
--> 3de77f571048
STEP 4/6: RUN go build -v main.go
internal/unsafeheader
internal/goarch
internal/cpu
internal/abi
internal/bytealg
internal/byteorder
internal/chacha8rand
internal/coverage/rtcov
internal/godebugs
internal/goexperiment
internal/goos
internal/profilerecord
internal/runtime/atomic
internal/runtime/syscall
internal/stringslite
internal/runtime/exithook
runtime/internal/math
runtime/internal/sys
cmp
internal/itoa
internal/race
runtime
math/bits
math
unicode/utf8
sync/atomic
unicode
internal/asan
internal/msan
internal/reflectlite
iter
sync
slices
errors
internal/bisect
strconv
io
internal/oserror
path
internal/godebug
syscall
reflect
time
io/fs
internal/filepathlite
internal/syscall/unix
internal/poll
internal/fmtsort
internal/syscall/execenv
internal/testlog
os
fmt
command-line-arguments
--> 6340b6cccaa9
STEP 5/6: RUN ls -halF
total 2.2M
drwxr-xr-x 1 root root 4.0K Oct  3 15:14 ./
dr-xr-xr-x 1 root root 4.0K Oct  3 15:14 ../
drwxrwxrwx 6 root root 4.0K Oct  3 15:14 .git/
-rw-rw-rw- 1 root root  690 Oct  3 15:14 .gitlab-ci.yml
-rw-rw-rw- 1 root root 1.8K Oct  3 15:14 Dockerfile
-rw-rw-rw- 1 root root   74 Oct  3 15:14 Dockerfile_multistage
-rw-rw-rw- 1 root root   18 Oct  3 15:14 README.md
-rw-rw-rw- 1 root root   51 Oct  3 15:14 go.mod
-rw-rw-rw- 1 root root  258 Oct  3 15:14 long-script-with-cleanup.sh
-rwxr-xr-x 1 root root 2.1M Oct  3 15:14 main*
-rw-rw-rw- 1 root root  157 Oct  3 15:14 main.go
-rw-rw-rw- 1 root root  333 Oct  3 15:14 string_output.sh
drwxrwxrwx 2 root root 4.0K Oct  3 15:14 test/
--> e3cce3e2b16a
STEP 6/6: CMD ["exec", "main"]
COMMIT playground-bis:testing
--> 2bf7283ee21d
Successfully tagged localhost/playground-bis:testing
2bf7283ee21dd86134fbda06a5835af4b68fe3dc6a3525b96587e14c40d7f1a3
Cleaning up project directory and file based variables
00:01
Job succeeded

rootユーザーとしてPodmanを`--privileged`フラグを`false`に設定して実行する

前提条件:

コンテナ内でfuse-overlayfsを使用するための権限。

以下の手順は、How to use Podman inside of Kubernetesの「Rootless Podman without the privileged flag」セクションから着想を得ています。

rootless Podmanを実行する場合、システム設定をいくつか調整することで特権フラグを削除できます。コンテナ内でfuse-overlayfsを使用するには、コンテナが/dev/fuseへのアクセスを必要とします。

Kubernetesクラスターを実行しているホスト上でSELinuxを無効にする必要もあります。SELinuxは、コンテナ内で必要なファイルシステムをマウントするコンテナ化されたプロセスを妨げます。

これを実現するには:

ジョブPodで使用できるデバイスプラグインを作成します。例:

apiVersion: apps/v1
kind: DaemonSet
metadata:
  name: fuse-device-plugin-daemonset
  namespace: kube-system
spec:
  selector:
    matchLabels:
      name: fuse-device-plugin-ds
  template:
    metadata:
      labels:
        name: fuse-device-plugin-ds
    spec:
      hostNetwork: true
      containers:
        - image: soolaugust/fuse-device-plugin:v1.0
          name: fuse-device-plugin-ctr
          securityContext:
            allowPrivilegeEscalation: false
            capabilities:
              drop: ["ALL"]
          volumeMounts:
            - name: device-plugin
              mountPath: /var/lib/kubelet/device-plugins
      volumes:
        - name: device-plugin
          hostPath:
            path: /var/lib/kubelet/device-plugins

クラスターにGitLab Runnerをインストールするようにconfig.tomlを設定します。

ジョブPodをrootユーザーとして実行し、--privilegedフラグをfalseに設定します:

allow_privilege_escalation = false
[runners.kubernetes.pod_security_context]
  run_as_non_root = false
[runners.kubernetes.build_container_security_context]
  run_as_user = 0
  run_as_group = 0

pod_spec機能を使用して、ジョブPodにリソース制限を設定します。pod_specを使用するには、FF_USE_ADVANCED_POD_SPEC_CONFIGURATION機能フラグをtrueに設定します。

[[runners.kubernetes.pod_spec]]
  name = "device-fuse"
  patch_type = "strategic"
  patch = '''
    containers:
      - name: build
        resources:
          limits:
            github.com/fuse: 1
  '''

config.tomlは次のようになります:

[[runners]]
  [runners.kubernetes]
    host = ""
    bearer_token_overwrite_allowed = false
    pod_termination_grace_period_seconds = 0
    namespace = ""
    namespace_overwrite_allowed = ""
    pod_labels_overwrite_allowed = ""
    service_account_overwrite_allowed = ""
    pod_annotations_overwrite_allowed = ""
    node_selector_overwrite_allowed = ".*"
    allow_privilege_escalation = false
    [runners.kubernetes.pod_security_context]
      run_as_non_root = false
    [runners.kubernetes.build_container_security_context]
      run_as_user = 0
      run_as_group = 0
    [[runners.kubernetes.pod_spec]]
      name = "device-fuse"
      patch_type = "strategic"
      patch = '''
        containers:
          - name: build
            resources:
              limits:
                github.com/fuse: 1
      '''

Podmanでビルドするためのジョブを実行します。
```
variables:
  FF_USE_ADVANCED_POD_SPEC_CONFIGURATION: "true"

podman-privileged-test:
  image: quay.io/podman/stable
  before_script:
    - podman info
    - id
  script:
    - podman build . -t playground-bis:testing
```
機能フラグを有効にして、環境に合わせてRunnerの動作を調整することもできます。詳細については、利用可能な機能フラグを参照してください。

ジョブはpodman buildを実行し、これは正常に完了するはずです。

...

$ podman build . -t playground-bis:testing
time="2024-11-06T16:57:41Z" level=warning msg="Using cgroups-v1 which is deprecated in favor of cgroups-v2 with Podman v5 and will be removed in a future version. Set environment variable `PODMAN_IGNORE_CGROUPSV1_WARNING` to hide this warning."
time="2024-11-06T16:57:41Z" level=warning msg="Using cgroups-v1 which is deprecated in favor of cgroups-v2 with Podman v5 and will be removed in a future version. Set environment variable `PODMAN_IGNORE_CGROUPSV1_WARNING` to hide this warning."
STEP 1/6: FROM docker.io/library/golang:1.24.4 AS builder
Trying to pull docker.io/library/golang:1.24.4...
Getting image source signatures
Copying blob sha256:32d3574b34bd65a6cf89a80e5bd939574c7a9bd3efbaa4881292aaca16d3d0dc
Copying blob sha256:a47cff7f31e941e78bf63ca19f0811b675283e2c00ddea10c57f78d93b2bc343
Copying blob sha256:cdd62bf39133c498a16f7a7b1b6555ba43d02b2511c508fa4c0a9b1975ffe20e
Copying blob sha256:1eb015951d08f558e9805d427f6d30728b0cd94d5c9b9538cd4f7df57598664a
Copying blob sha256:a173f2aee8e962ea19db1e418ae84a0c9f71480b51f768a19332dfa83d7722a5
Copying blob sha256:e7bff916ab0c126c9d943f0c481a905f402e00f206a89248f257ef90beaabbd8
Copying blob sha256:4f4fb700ef54461cfa02571ae0db9a0dc1e0cdb5577484a6d75e68dc38e8acc1
Copying config sha256:8027d6b1a7f0702ed8a4174fd022be03f87e35c7a7fa00afb2bf4178b22080d4
Writing manifest to image destination
STEP 2/6: WORKDIR "/workspace"
--> 94b34d00b2cb
STEP 3/6: COPY . .
--> b807785fe549
STEP 4/6: RUN go build -v main.go
internal/goarch
internal/unsafeheader
internal/cpu
internal/abi
internal/bytealg
internal/byteorder
internal/chacha8rand
internal/coverage/rtcov
internal/godebugs
internal/goexperiment
internal/goos
internal/profilerecord
internal/runtime/atomic
internal/runtime/syscall
internal/runtime/exithook
internal/stringslite
runtime/internal/math
runtime/internal/sys
cmp
internal/itoa
internal/race
runtime
math/bits
math
unicode/utf8
sync/atomic
unicode
internal/asan
internal/msan
iter
internal/reflectlite
sync
slices
internal/bisect
errors
strconv
io
internal/oserror
path
internal/godebug
reflect
syscall
time
io/fs
internal/fmtsort
internal/filepathlite
internal/syscall/unix
internal/syscall/execenv
internal/testlog
internal/poll
os
fmt
command-line-arguments
--> 5c4fa8b22a3e
STEP 5/6: RUN ls -halF
total 2.1M
drwxr-xr-x  4 root root   18 Nov  6 16:58 ./
dr-xr-xr-x 19 root root    6 Nov  6 16:58 ../
drwxrwxrwx  6 root root  128 Nov  6 16:57 .git/
-rw-rw-rw-  1 root root  743 Nov  6 16:57 .gitlab-ci.yml
-rw-rw-rw-  1 root root 1.8K Nov  6 16:57 Dockerfile
-rw-rw-rw-  1 root root   74 Nov  6 16:57 Dockerfile_multistage
-rw-rw-rw-  1 root root   18 Nov  6 16:57 README.md
-rw-rw-rw-  1 root root   51 Nov  6 16:57 go.mod
-rw-rw-rw-  1 root root  258 Nov  6 16:57 long-script-with-cleanup.sh
-rwxr-xr-x  1 root root 2.1M Nov  6 16:58 main*
-rw-rw-rw-  1 root root  157 Nov  6 16:57 main.go
-rw-rw-rw-  1 root root  333 Nov  6 16:57 string_output.sh
drwxrwxrwx  2 root root   87 Nov  6 16:57 test/
--> 57bb3eb7e929
STEP 6/6: CMD ["exec", "main"]
COMMIT playground-bis:testing
--> 2cc55d032ba8
Successfully tagged localhost/playground-bis:testing
2cc55d032ba852e05c513e4067b55c10fd697c65e07ffe2aae104e8531702274
Cleaning up project directory and file based variables
00:00
Job succeeded

OpenShiftでPodmanを非rootユーザーとして実行する

特権のないコンテナでrootless Podmanを実行するには、RedHatの記事「Build container images in OpenShift using Podman as a GitLab Runner」の手順に従ってください。

トラブルシューティング

非rootユーザーとしてジョブを実行すると、`git`は`/.gitconfig`に設定を保存できません

rootとしてジョブを実行していないため、gitは/.gitconfigに設定を保存できません。その結果、次のエラーが発生する可能性があります:

Getting source from Git repository
00:00
error: could not lock config file //.gitconfig: Permission denied

このエラーを防ぐには:

/my_custom_dirにemptyDirボリュームをマウントします。
HOME環境変数を/my_custom_dirパスに設定します。