jeroenpeeters/docker-ssh

Docker-SSH

Docker容器的SSH服务器 ~ 因为每个容器都应该是可访问的。

想要立即SSH进入你的容器？操作如下：

bash
$ docker run -d -p 2222:22 \
  -v /var/run/docker.sock:/var/run/docker.sock \
  -e FILTERS={\"name\":[\"^/my-container$\"]} -e AUTH_MECHANISM=noAuth \
  jeroenpeeters/docker-ssh

$ ssh -p 2222 localhost

什么是Docker-SSH？

Docker-SSH是一个SSH服务器实现，它透明地将docker exec与SSH会话桥接起来。它实现了常规的SSH服务器、Web终端和Web API。

目录

• 功能与待办
• 为任何容器添加SSH功能！
• Web终端
• 用户认证
• 服务器身份与安全
• 参数
• 容器要求
• 故障排除

前言

有许多理由需要SSH到容器内运行的进程。由于容器应该被限制为运行一个主/初始化进程，因此通常没有干净的访问方式。当然，你可以SSH到Docker主机并使用docker exec访问容器。另一种方法是将SSH服务器作为次要进程启动。这不仅违背了每个容器一个进程的理念，而且在使用Docker Hub上的镜像时也很麻烦，因为这些镜像通常不（也不应该）包含SSH服务器。

Docker-SSH以组合方式为任何容器添加SSH功能。它实现了一个SSH服务器，透明地将SSH会话与docker exec桥接。要使其正常工作，需要满足以下要求：

• 容器已安装shell环境（例如bash或sh）。
• Docker socket被映射到容器中，这使容器能够访问Docker引擎。

功能与待办

以下是已实现功能和计划功能的列表。如果你希望为这个项目做出贡献，请给我发消息。

• 交互式shell
• 执行单个命令
• HTTP API
• Web终端
• 简单用户认证；一个用户/密码
• 通过用户名和密码认证用户
• 通过用户名和公钥认证用户
• 以特定用户身份运行命令
• 使用Docker过滤器定位容器
• 自定义MOTD
• SCP实现
• SFTP实现
• 访问多个容器

为任何容器添加SSH功能！

假设你有一个名为“web-server1”的运行中容器。运行以下命令启动Docker-SSH：

bash
docker run -e FILTERS={\"name\":[\"^/web-server-1$\"]} -e AUTH_MECHANISM=noAuth \
  --name sshd-web-server1 -p 2222:22  --rm \
  -v /var/run/docker.sock:/var/run/docker.sock \
  jeroenpeeters/docker-ssh

此示例中的SSH服务器现在在其自己的容器（名为“sshd-web-server1”）中运行，并在端口2222上公开SSH服务。

现在你可以使用你喜欢的客户端通过SSH访问容器。输出将类似于：

bash
ssh someuser@localhost -p 2222
someuser@localhost's password: <PASSWORD>

###############################################################
## Docker SSH ~ Because every container should be accessible ##
###############################################################
## container | web-server1                                   ##
###############################################################

/opt/nginx $

Web终端

Docker-SSH还实现了一个Web终端，以方便使用。Web终端允许你使用浏览器连接到shell。下面是Web终端运行时的截图。

!https://raw.githubusercontent.com/jeroenpeeters/docker-ssh/master/docker-web-terminal.png

Web终端默认启用，并在端口8022上公开。要禁用Web终端，请设置-e HTTP_ENABLED=false。

Web API

Web终端使用Web API与shell会话通信。第三方应用程序也可以使用该API。

启动会话

可以通过调用/api/v1/terminal/stream端点获取新会话。此调用创建一个新会话并返回HTML5 Server-Sent Events流。有两个事件：1. connectionId，2. data。connectionId事件包含此会话的唯一ID。此ID必须用于向会话发送命令。data事件包含序列化字符串转义的终端数据。关闭流时，会话结束。

bash
curl http://localhost:8022/api/v1/terminal/stream

向会话发送命令

要向会话发送命令，需使用启动会话时获得的connectionId。使用端点/api/v1/terminal/send/:sessionId向终端会话发送命令。必须是POST请求，通过表单提交，其中data参数填充你希望执行的命令。不要忘记发送回车符，否则命令不会执行。记住，这是一个终端！

bash
curl -X POST http://localhost:8022/api/v1/terminal/send/122dbd35-d51d-4bc3-80c8-787d82370bee -d 

## 调整终端窗口大小
可以通过POST到端点`/api/v1/terminal/resize-window/:terminalId`来调整终端大小。该端点接受两个参数：rows（行数）和cols（列数）。

```bash
curl -X POST http://localhost:8022/api/v1/terminal/resize-window/2aaff6d2-b0e9-4e42-99c3-a80474b1c32f -d 'rows=10&cols=20'

用户认证

Docker-SSH支持多种认证机制。下表列出了已实现和计划的认证机制：

noAuth

不执行认证。服务器接受任何用户/密码组合。适用于测试，或在封闭网络环境（如具有分离VLAN的企业网络）中使用。但此机制不推荐，应谨慎使用！使用此认证机制会在日志中创建错误条目。

simpleAuth

支持单个用户使用密码进行认证。设置AUTH_MECHANISM=simpleAuth启用此认证机制。通过设置AUTH_USER和AUTH_PASSWORD配置用户名和密码。

bash
$ docker run -d -p 2222:22 \
  -v /var/run/docker.sock:/var/run/docker.sock \
  -e FILTERS={\"name\":[\"^/my-container$\"]} -e AUTH_MECHANISM=simpleAuth \
  -e AUTH_USER=jeroen -e AUTH_PASSWORD=1234 \
  jeroenpeeters/docker-ssh

$ ssh -p 2222 jeroen@localhost
$ jeroen@localhost's password: ****

multiUser

支持根据用户:密码元组列表对用户进行认证。设置AUTH_MECHANISM=multiUser启用此认证机制。通过设置AUTH_TUPLES配置用户:密码元组，它是一个用分号（;）分隔的用户:密码对的字符串。

bash
$ docker run -d -p 2222:22 \
  -v /var/run/docker.sock:/var/run/docker.sock \
  -e FILTERS={\"name\":[\"^/my-container$\"]} -e AUTH_MECHANISM=multiUser \
  -e AUTH_TUPLES="jeroen:thefather;luke:theforce" \
  jeroenpeeters/docker-ssh

$ ssh -p 2222 luke@localhost
$ luke@localhost's password: ****

publicKey

支持根据包含公钥列表的authorized_keys文件对用户进行认证。设置AUTH_MECHANISM=publicKey启用此认证机制。通过设置AUTHORIZED_KEYS配置authorized_keys文件的名称。

bash
$ cat ~/.ssh/id_rsa.pub > authorized_keys
$ docker run -d -p 2222:22 \
  -v /var/run/docker.sock:/var/run/docker.sock \
  -v ./authorized_keys:/authorized_keys \
  -e FILTERS={\"name\":[\"^/my-container$\"]} -e AUTH_MECHANISM=publicKey \
  -e AUTHORIZED_KEYS=/authorized_keys \
  jeroenpeeters/docker-ssh

$ ssh -p 2222 luke@localhost

SHELL_USER

SSH认证由Docker-SSH提供，独立于容器运行。因此，shell用户和认证用户也独立运行。默认情况下，shell用户将是Docker镜像中USER指令指定的用户。如果你希望覆盖此设置，可以将SHELL_USER指定为Docker-SSH的环境变量。注意：此用户必须已存在于容器中，否则Docker-SSH将失败。

Docker过滤器

Docker-SSH使用docker ps的filter参数定位特定容器。你应确保过滤器匹配目标容器。如果过滤器匹配多个容器，将使用第一个容器。请参阅[***]

请注意，名称过滤器执行部分匹配。你应使用正则表达式精确匹配容器名称。有关使用Docker过滤器进行精确名称匹配的演示，请参见上面的示例之一。

服务器身份与安全

SSH服务器需要RSA/EC私钥来保护连接并向客户端标识自己。Docker-SSH容器附带一个默认的RSA密钥，将被使用。如果你愿意，可以提供自己的密钥。只需将密钥文件作为卷提供给容器，并设置容器的KEYPATH参数。示例：-v /path/to/my/key:/my_key -e KEYPATH=/my_key。也可以覆盖现有密钥文件。在这种情况下，你可以省略KEYPATH参数。示例：-v /path/to/my/key:/usr/src/app/id_rsa.pub

参数

Docker-SSH的参数作为Docker环境变量传递。Docker-SSH至少需要CONTAINER参数才能知道为哪个容器提供SSH。将Docker socket挂载到SSH容器中是强制性的，因为Docker-SSH内部使用docker exec创建shell会话。

致谢

没有以下优秀的Node包，我无法创建Docker-SSH！非常感谢以下包的作者：

• https://github.com/mscdex/ssh2
• https://github.com/apocas/dockerodedata=ls -al\n'

## 调整终端窗口大小
可以通过POST到端点__CODE_TOKEN_17__来调整终端大小。该端点接受两个参数：rows（行数）和cols（列数）。

__CODE_TOKEN_5__

# 用户认证
Docker-SSH支持多种认证机制。下表列出了已实现和计划的认证机制：

| AUTH_MECHANISM | 已实现 | 描述 |
|----------------|--------|------|
| noAuth         | 是     | 不执行认证，输入任何用户/密码组合即可登录 |
| simpleAuth     | 是     | 认证预定义的用户/密码，支持一个用户 |
| multiUser      | 是     | 根据预定义的用户列表和密码认证用户 |
| publicKey      | 是     | 公钥认证 |

## noAuth
不执行认证。服务器接受任何用户/密码组合。适用于测试，或在封闭网络环境（如具有分离VLAN的企业网络）中使用。但此机制**不推荐**，应谨慎使用！使用此认证机制会在日志中创建错误条目。

## simpleAuth
支持单个用户使用密码进行认证。设置__CODE_TOKEN_18__启用此认证机制。通过设置__CODE_TOKEN_19__和__CODE_TOKEN_20__配置用户名和密码。

__CODE_TOKEN_6__

## multiUser
支持根据用户:密码元组列表对用户进行认证。设置__CODE_TOKEN_21__启用此认证机制。通过设置__CODE_TOKEN_22__配置用户:密码元组，它是一个用分号（;）分隔的用户:密码对的字符串。

__CODE_TOKEN_7__

## publicKey
支持根据包含公钥列表的authorized_keys文件对用户进行认证。设置__CODE_TOKEN_23__启用此认证机制。通过设置__CODE_TOKEN_24__配置authorized_keys文件的名称。

__CODE_TOKEN_8__

# SHELL_USER
SSH认证由Docker-SSH提供，独立于容器运行。因此，shell用户和认证用户也独立运行。默认情况下，shell用户将是Docker镜像中USER指令指定的用户。如果你希望覆盖此设置，可以将__CODE_TOKEN_25__指定为Docker-SSH的环境变量。**注意：此用户必须已存在于容器中，否则Docker-SSH将失败。**

# Docker过滤器
Docker-SSH使用__CODE_TOKEN_26__的filter参数定位特定容器。你应确保过滤器匹配目标容器。如果过滤器匹配多个容器，将使用第一个容器。请参阅[***]

请注意，名称过滤器执行部分匹配。你应使用正则表达式精确匹配容器名称。有关使用Docker过滤器进行精确名称匹配的演示，请参见上面的示例之一。

# 服务器身份与安全
SSH服务器需要RSA/EC私钥来保护连接并向客户端标识自己。Docker-SSH容器附带一个默认的RSA密钥，将被使用。如果你愿意，可以提供自己的密钥。只需将密钥文件作为卷提供给容器，并设置容器的__CODE_TOKEN_28__参数。示例：__CODE_TOKEN_29__。也可以覆盖现有密钥文件。在这种情况下，你可以省略__CODE_TOKEN_30__参数。示例：__CODE_TOKEN_31__

# 参数
Docker-SSH的参数作为Docker环境变量传递。Docker-SSH至少需要__CODE_TOKEN_32__参数才能知道为哪个容器提供SSH。将Docker socket挂载到SSH容器中是强制性的，因为Docker-SSH内部使用__CODE_TOKEN_33__创建shell会话。

| 参数             | 默认值      | 描述 |
|------------------|-------------|------|
| FILTER           | 无          | 用于定位容器的Docker过滤器 |
| CONTAINER        | 无          | 运行中容器的*名称*。**已弃用**，使用FILTER |
| CONTAINER_SHELL  | bash        | shell的路径 |
| AUTH_MECHANISM   | 无          | 认证机制名称，参见用户认证 |
| KEYPATH          | ./id_rsa    | 用作服务器身份的私钥路径 |
| PORT             | 22          | SSH服务器监听的端口 |
| HTTP_ENABLED     | true        | 启用/禁用Web终端 |
| HTTP_PORT        | 8022        | Web终端监听的端口 |
| SHELL_USER       | root        | 以该用户身份运行命令（注意：独立于认证用户） |

# 致谢
没有以下优秀的Node包，我无法创建Docker-SSH！非常感谢以下包的作者：

- https://github.com/mscdex/ssh2
- https://github.com/apocas/dockerode