子容器管理DockerBoard

创建实例时开启多容器隔离

1. 登录 PAI 控制台，进入 DSW 页面，点击创建实例。

2. 在实例配置中，找到启用多容器隔离 (DinD)开关并开启。

3. 开启后，会出现以下配置项：

   • 限制访问主容器的角色：下拉选择需要限制的工作空间角色。被限制的角色将无法直接打开和操作 DSW 主容器，只能通过SSH登录到子容器进行开发。

     例如：选择算法开发后，拥有算法开发角色的用户将无法进入主容器，但仍可在实例详情页的子容器管理中创建和使用自己的子容器。

     如果不选择任何角色，则所有有权限的用户都可以正常访问主容器，和现有行为一致。

   • 子容器数量上限：设置该实例允许创建的子容器最大数量，支持配置 1~16 的整数，默认值为 10。

   • 数据目录隔离配置：指定数据目录隔离配置文件在主容器内的路径，默认为 /etc/docker/dockerboard/mount_access.json。该配置文件用于控制不同用户创建子容器时可挂载的数据目录范围。可先单击配置模板下载获取配置文件模板，后续配置步骤请参见配置数据目录隔离。

4. 完成其他实例配置后，提交创建即可。

配置数据目录隔离

数据目录隔离用于控制不同开发者在创建子容器时可以挂载的数据目录范围，防止开发者越权访问其他人的存储数据。

配置步骤：

1. 在实例创建/编辑页面中，单击数据目录隔离配置下方的配置模板下载链接，获取 JSON 模板文件。

2. 按照模板格式，填写阿里云子账号 UID 与该用户可访问的 DSW 主容器内目录的映射关系。

3. 将编辑好的 mount_access.json 文件放置到 DSW 主容器中配置路径所指定的位置（默认为 /etc/docker/dockerboard/mount_access.json）。

配置文件格式：

配置文件为 JSON 格式，以阿里云子账号 UID 为 key，每个用户可配置 Allow（允许挂载的目录列表）和 Deny（禁止挂载的目录列表）两个字段。示例如下：

{
  "123124432xxx": {
    "Allow": [
      "/mnt/workspace",
      "/mnt/data1"
    ],
    "Deny": [
      "/mnt/data2"
    ]
  },
  "224321234xxx": {
    "Allow": [
      "*"
    ]
  }
}

各字段说明：

配置生效规则：

• 如果配置文件存在且格式有效，系统在子容器创建时会校验当前用户是否有权限挂载所选目录。

• 如果配置文件中找不到当前用户的对应记录，该用户在新建子容器时将不允许挂载数据目录，页面会提示："您的账号没有可用的 DSW 路径，如有挂载需求，请联系实例负责人为您增加配置"。

• 如果配置文件路径为空或文件不存在，系统不进行目录隔离校验，所有用户均可挂载主容器的任意目录。

进入子容器管理页面

1. 登录 PAI 控制台，进入 DSW 页面。

2. 在实例列表中，点击已开启 DinD 的目标实例名称，进入实例详情页。

3. 在实例详情页中，单击切换至子容器管理页签，进入管理页面。

新建子容器

在子容器管理页面，单击新建子容器按钮，在弹出的创建表单中完成以下配置。

基础信息

环境信息

资源信息

配置完成后，单击确定创建子容器。您可以在子容器管理页面，单击子容器创建任务进度查看创建过程。

管理子容器

在子容器列表中，每个子容器的操作栏提供以下功能：

仅可操作自己创建的子容器。

• 启动：将处于已停止状态的子容器重新启动。

• 停止：停止正在运行的子容器。停止后容器内的进程会终止，但容器配置和挂载的存储数据不会丢失。

• 重启：重启正在运行的子容器，等效于先停止再启动。

• 日志：查看子容器的运行日志，可用于排查问题。

• SSH连接信息：查看该子容器的 SSH 连接信息，包括连接用户名和连接命令。

• 删除：删除子容器。删除后容器内未通过挂载方式持久化的数据将不可恢复，请谨慎操作。

查看子容器列表

进入子容器管理页面后，可以看到当前实例上所有子容器的列表。列表展示以下信息：

所有拥有 DSW 可读权限的用户都可以查看完整的子容器列表，但只能操作（启动、停止、删除）自己创建的子容器。

查看创建任务列表

由于子容器创建过程可能耗时较长（如需拉取大型镜像），系统提供了创建任务跟踪能力。

在子容器管理页面右上角，单击子容器创建任务进度，可以查看所有容器创建任务的状态和日志。对于处于"创建中"状态的任务，支持手动中止操作。任务记录默认保留 3 天后自动回收。

通过SSH访问子容器

子容器创建成功并处于运行状态后，可以通过 SSH 方式远程登录访问。

操作步骤：

1. 在子容器列表中，找到目标子容器，点击操作栏中SSH 连接信息，其中包括连接用户名和完整连接命令。

2. 在本地终端中执行连接命令即可登录子容器。连接命令格式为：

ssh <连接用户名>@<实例公网地址> -p 22 -i <本地私钥路径>

各参数说明：

SSH 登录成功后，会直接进入对应子容器的命令行环境。所有子容器共享 DSW 主容器的 22 端口，通过各自不同的 SSH 密钥和专属连接用户名实现访问隔离。

Q：为什么在实例详情页看不到"子容器管理"Tab？

请确认：

1. 该 DSW 实例在创建时已开启启用多容器隔离 (DinD)功能；

2. DSW 主容器当前处于运行中状态。主容器未运行时，子容器管理 Tab 不会展示。

Q：新建子容器时无法挂载数据目录？

可能是实例管理员配置了数据目录隔离策略，且您的阿里云账号未在配置文件中被分配可用目录。请联系实例管理员在 mount_access.json 中为您添加配置。

Q：SSH 连接子容器失败？

请依次检查：

1. 子容器是否处于"运行中"状态；

2. 使用的本地私钥是否与创建子容器时填写的公钥匹配；

3. DSW 实例是否已开启 SSH 功能；

4. 网络是否可以访问实例的公网地址和 22 端口。

Q：子容器创建耗时很长？

子容器创建时间主要取决于镜像拉取速度。使用大型镜像时首次拉取可能需要较长时间。您可以在创建任务列表中查看进度和日志。后续使用相同镜像创建新容器时，由于镜像已缓存在本地，速度会快很多。

Q：可以操作其他人创建的子容器吗？

默认情况下，每个用户只能操作自己创建的子容器，但可以查看所有子容器的基本信息。如果需要操作他人的子容器，需要由管理员通过 RAM 策略授予相应权限。