Запуск Docker-образа на виртуальной машине с помощью консоли управления, CLI и API

Если у вас еще не установлен OpenSSH, установите его по инструкции.

1. Запустите cmd.exe или powershell.exe (предварительно обновите PowerShell).

2. Создайте новый ключ с помощью команды ssh-keygen:

   ssh-keygen -t ed25519 -C "<опциональный_комментарий>"
   

   Вы можете передать в параметре -C пустую строку, чтобы не добавлять комментарий, или не указывать параметр -C вообще — в таком случае будет добавлен комментарий по умолчанию.

   После выполнения команды вам будет предложено указать имя и путь к файлам с ключами, а также ввести пароль для закрытого ключа. Если задать только имя, пара ключей будет создана в текущей директории. Открытый ключ будет сохранен в файле с расширением .pub, закрытый ключ — в файле без расширения.

   По умолчанию команда предлагает сохранить ключ под именем id_ed25519 в папку C:\Users\<имя_пользователя>/.ssh. Если в этой директории уже есть SSH-ключ с именем id_ed25519, вы можете случайно перезаписать его и потерять доступ к ресурсам, в которых он используется. Поэтому рекомендуется использовать уникальные имена для всех SSH-ключей.

Создайте ключи с помощью приложения PuTTY:

1. Скачайте и установите PuTTY.

2. Добавьте папку с PuTTY в переменную PATH:

   1. Нажмите кнопку Пуск и в строке поиска Windows введите Изменение системных переменных среды.
   2. Справа снизу нажмите кнопку Переменные среды....
   3. В открывшемся окне найдите параметр PATH и нажмите Изменить.
   4. Добавьте путь к папке в список.
   5. Нажмите кнопку ОК.

3. Запустите приложение PuTTYgen.

4. В качестве типа генерируемой пары выберите EdDSA. Нажмите Generate и поводите курсором в поле выше до тех пор, пока не закончится создание ключа.

   

5. В поле Key passphrase введите надежный пароль. Повторно введите его в поле ниже.

6. Нажмите кнопку Save private key и сохраните закрытый ключ. Никому не сообщайте ключевую фразу от него.

7. Нажмите кнопку Save public key и сохраните открытый ключ в файле <имя_ключа>.pub.

Скачайте и установите дистрибутив Docker Desktop для macOS. Подробную информацию см. в документации разработчика.

1. Скачайте и установите дистрибутив Docker Desktop для Windows.

2. После завершения установки добавьте текущего пользователя в группу docker-users:

   1. От имени администратора откройте оснастку Управление компьютером:

      compmgmt.msc
      

   2. Раскройте меню Управление компьютером (локальным) → Служебные программы → Локальные пользователи и группы → Группы и откройте группу docker-users.

   3. Нажмите кнопку Добавить и добавьте нужного пользователя в группу.

   4. Нажмите ОК.

3. Запустите Docker Desktop и убедитесь, что статус приложения — running.

Информацию о дополнительных настройках Docker в OS Windows см. в документации разработчика.

Если у вас еще нет интерфейса командной строки Yandex Cloud (CLI), установите и инициализируйте его.

По умолчанию используется каталог, указанный при создании профиля CLI. Чтобы изменить каталог по умолчанию, используйте команду yc config set folder-id <идентификатор_каталога>. Также для любой команды вы можете указать другой каталог с помощью параметров --folder-name или --folder-id.

1. Убедитесь, что в каталоге еще не создан реестр:

   yc container registry list
   

   Результат:

   +----+------+-----------+
   | ID | NAME | FOLDER ID |
   +----+------+-----------+
   +----+------+-----------+
   

   Если в каталоге уже есть реестр, посмотрите, как можно его изменить, в разделе Изменить реестр.

2. Создайте реестр:

   • с автоматическим сканированием уязвимостей:

     yc container registry create --name my-reg --secure
     

     Важно

     Автоматическое сканирование Docker-образов повышает безопасность реестра. Настройки сканирования уязвимостей по умолчанию соответствуют Стандарту по защите облачной инфраструктуры Yandex Cloud.

   • без автоматического сканирования уязвимостей:

     yc container registry create --name my-reg
     

   Результат:

   done
   id: crpd50616s9a********
   folder_id: b1g88tflru0e********
   name: my-reg
   status: ACTIVE
   created_at: "2019-01-09T14:34:06.601Z"
   

   Требования к имени реестра:

   • длина — от 2 до 63 символов;
   • может содержать строчные буквы латинского алфавита, цифры и дефисы;
   • первый символ — буква, последний — не дефис.

   Параметр --name необязательный, можно создать реестр без имени и обращаться к нему по идентификатору. Поле name пользовательское, оно используется при листинге в Yandex Cloud CLI и не используется в Docker CLI.

3. Проверьте, что реестр создался:

   yc container registry list
   

   Результат:

   +----------------------+--------+----------------------+
   |          ID          |  NAME  |      FOLDER ID       |
   +----------------------+--------+----------------------+
   | crpd50616s9a******** | my-reg | b1g88tflru0e******** |
   +----------------------+--------+----------------------+
   

Чтобы создать реестр, воспользуйтесь методом create для ресурса Registry.

Если у вас еще нет интерфейса командной строки Yandex Cloud (CLI), установите и инициализируйте его.

1. Посмотрите описание команды CLI для создания сервисного аккаунта:

   yc iam service-account create --help
   

2. Создайте сервисный аккаунт:

   По умолчанию используется каталог, указанный при создании профиля CLI. Чтобы изменить каталог по умолчанию, используйте команду yc config set folder-id <идентификатор_каталога>. Также для любой команды вы можете указать другой каталог с помощью параметров --folder-name или --folder-id.

   yc iam service-account create --name images-puller
   

   Результат:

   id: ajelabcde12f********
   folder_id: b0g12ga82bcv********
   created_at: "2020-11-30T14:32:18.900092Z"
   name: myservice-acc
   

3. Назначьте роль container-registry.images.puller сервисному аккаунту:

   yc container registry add-access-binding <имя_или_идентификатор_реестра> \
     --role container-registry.images.puller \
     --subject serviceAccount:<идентификатор_сервисного_аккаунта>
   

   Где --subject — идентификатор сервисного аккаунта (например: ajelabcde12f********), которому назначается роль.

1. Чтобы создать сервисный аккаунт, воспользуйтесь методом REST API create для ресурса ServiceAccount или вызовом gRPC API ServiceAccountService/Create.

2. Чтобы назначить роль сервисному аккаунту на реестр, воспользуйтесь методом REST API updateAccessBindings для ресурса Registry или вызовом gRPC API RegistryService/UpdateAccessBindings.

1. Посмотрите описание команды CLI для создания ВМ:

   yc compute instance create --help
   

2. Подготовьте пару ключей (открытый и закрытый) для SSH-доступа на ВМ.

3. Выберите в Cloud Marketplace один из публичных образов на базе операционной системы Linux (например, CentOS 7).

   Чтобы получить список доступных образов с помощью CLI, выполните команду:

   yc compute image list --folder-id standard-images
   

   Результат:

   +----------------------+-------------------------------------+--------------------------+----------------------+--------+
   |          ID          |                NAME                 |          FAMILY          |     PRODUCT IDS      | STATUS |
   +----------------------+-------------------------------------+--------------------------+----------------------+--------+
   ...
   | fdvk34al8k5n******** | centos-7-1549279494                 | centos-7                 | dqni65lfhvv2******** | READY  |
   | fdv7ooobjfl3******** | windows-2016-gvlk-1548913814        | windows-2016-gvlk        | dqnnc72gj2is******** | READY  |
   | fdv4f5kv5cvf******** | ubuntu-1604-lts-1549457823          | ubuntu-1604-lts          | dqnnb6dc7640******** | READY  |
   ...
   +----------------------+-------------------------------------+--------------------------+----------------------+--------+
   

   Где:

   • ID — идентификатор образа.

   • NAME — имя образа.

   • FAMILY — идентификатор семейства образов, к которому относится образ.

   • PRODUCT IDS — идентификаторы продуктов Yandex Cloud Marketplace, связанных с образом.

   • STATUS — текущий статус образа. Может принимать одно из значений:

     • STATUS_UNSPECIFIED — статус образа не определен.
     • CREATING — образ в процессе создания.
     • READY — образ готов к использованию.
     • ERROR — образ нельзя использовать из-за возникшей с ним проблемы.
     • DELETING — образ в процессе удаления.

4. Посмотрите список доступных подсетей:

   yc vpc subnet list
   

   Результат:

   +----------------------+---------------------------+----------------------+----------------+-------------------+-----------------+
   |          ID          |           NAME            |      NETWORK ID      | ROUTE TABLE ID |       ZONE        |      RANGE      |
   +----------------------+---------------------------+----------------------+----------------+-------------------+-----------------+
   | b0c6n43f9lgh******** | default-ru-central1-d     | enpe3m3fa00u******** |                | ru-central1-d     | [10.130.0.0/24] |
   | e2l2da8a20b3******** | default-ru-central1-b     | enpe3m3fa00u******** |                | ru-central1-b     | [10.129.0.0/24] |
   | e9bnlm18l70a******** | default-ru-central1-a     | enpe3m3fa00u******** |                | ru-central1-a     | [10.128.0.0/24] |
   +----------------------+---------------------------+----------------------+----------------+-------------------+-----------------+
   

5. Создайте ВМ в каталоге по умолчанию:

   yc compute instance create \
     --name first-instance \
     --zone ru-central1-b \
     --network-interface subnet-name=default-ru-central1-b,nat-ip-version=ipv4 \
     --create-boot-disk image-folder-id=standard-images,image-family=centos-7 \
     --ssh-key ~/.ssh/id_ed25519.pub
     --service-account-name service-acc
   

   Где:

   • --name — имя ВМ.

     Примечание

     Имя виртуальной машины используется для генерации внутреннего FQDN единожды — при создании ВМ. Если для вас важен внутренний FQDN, учитывайте это и задавайте нужное имя ВМ при создании.

   • --zone — зона доступности, которая соответствует выбранной подсети.

   • subnet-name — имя выбранной подсети.

   • image-family — семейство образов, например centos-7. Эта опция позволит установить последнюю версию операционной системы из указанного семейства.

   • Публичный IP. Чтобы создать ВМ без публичного IP, исключите опцию nat-ip-version=ipv4.

   • --ssh-key — путь до публичного SSH-ключа. Для этого ключа на ВМ будет автоматически создан пользователь yc-user.

   • --service-account-name — имя сервисного аккаунта, созданного на предыдущем шаге.

   В результате будет создана ВМ first-instance.

Создайте ВМ с помощью метода REST API Create для ресурса Instance:

1. Подготовьте пару ключей (открытый и закрытый) для SSH-доступа на ВМ.

2. Получите Yandex Identity and Access Management-токен, используемый для аутентификации в примерах:

   • Инструкция для пользователя с аккаунтом на Яндексе.
   • Инструкция для сервисного аккаунта.

3. Получите идентификатор каталога.

4. Получите информацию об образе, из которого надо создать ВМ (идентификатор образа и минимальный размер диска):

   • Если вы знаете семейство образа, получите информации о последнем образе в этом семействе:

     export IAM_TOKEN=CggaATEVAgA...
     export FAMILY=ubuntu-1804
     curl --header "Authorization: Bearer ${IAM_TOKEN}" \
       "https://compute.api.cloud.yandex.net/compute/v1/images:latestByFamily?folderId=standard-images&family=${FAMILY}"
     

   • Вы можете получить информацию об образе из списка публичных образов.

5. Получите идентификатор подсети и идентификатор зоны доступности. В запросе укажите идентификатор каталога, в котором создана подсеть:

   export IAM_TOKEN=CggaATEVAgA...
   export FOLDER_ID=b1gvmob95yys********
   curl --header "Authorization: Bearer ${IAM_TOKEN}" \
     "https://vpc.api.cloud.yandex.net/vpc/v1/subnets?folderId=${FOLDER_ID}"
   {
     "subnets": [
       {
         "v4CidrBlocks": [
           "10.130.0.0/24"
         ],
       "id": "b0c6n43ftldh********",
       "folderId": "b1gvmob95yys********",
       "createdAt": "2018-09-23T12:15:00Z",
       "name": "default-ru-central1-b",
       "description": "Auto-created default subnet for zone ru-central1-b",
       "networkId": "enpe3m3faglu********",
       "zoneId": "ru-central1-b"
     },
     ...
     ]}
   

6. Создайте файл с телом запроса на создание ВМ, например body.json:

   {
     "folderId": "b1gvmob95yys********",
     "name": "instance-demo-no-pwauth",
     "zoneId": "ru-central1-b",
     "platformId": "standard-v3",
     "resourcesSpec": {
       "memory": "2147483648",
       "cores": "2"
     },
     "metadata": {
       "user-data": "#cloud-config\nusers:\n  - name: user\n    groups: sudo\n    shell: /bin/bash\n    sudo: 'ALL=(ALL) NOPASSWD:ALL'\n    ssh_authorized_keys:\n      - ssh-ed25519 AAAAB3N... user@example.com"
     },
     "bootDiskSpec": {
       "diskSpec": {
         "size": "2621440000",
         "imageId": "fd8rc75pn12f********"
       }
     },
     "networkInterfaceSpecs": [
       {
         "subnetId": "b0c6n43ftldh********",
         "primaryV4AddressSpec": {
           "oneToOneNatSpec": {
             "ipVersion": "IPV4"
           }
         }
       }
     ],
     "serviceAccountId": "ajelabcde12f********"
   }
   

   Где:

   • folderId — идентификатор каталога.

   • name — имя, которое будет присвоено ВМ при создании.

   • zoneId — зона доступности, которая соответствует выбранной подсети.

   • platformId — платформа.

   • resourceSpec — ресурсы, доступные ВМ. Значения должны соответствовать выбранной платформе.

   • metadata — в метаданных необходимо передать открытый ключ для SSH-доступа на ВМ. Подробнее в разделе Метаданные виртуальной машины.

   • bootDiskSpec — настройки загрузочного диска. Укажите идентификатор выбранного образа и размер диска. Размер диска должен быть не меньше минимального размера диска, указанного в информации об образе.

   • networkInterfaceSpecs — настройки сети:

     • subnetId — идентификатор выбранной подсети.

     • primaryV4AddressSpec — IP-адрес, который будет присвоен ВМ. Чтобы добавить публичный IP-адрес ВМ, укажите:

       "primaryV4AddressSpec": {
         "oneToOneNatSpec": {
           "ipVersion": "IPV4"
         }
       }
       

   • serviceAccountId — идентификатор созданного на предыдущем шаге сервисного аккаунта.

   Подробнее про формат тела запроса в справочнике API.

7. Создайте ВМ:

   export IAM_TOKEN=CggaATEVAgA...
   curl --request POST \
     --header "Content-Type: application/json" \
     --header "Authorization: Bearer ${IAM_TOKEN}" \
     --data '@body.json' \
     https://compute.api.cloud.yandex.net/compute/v1/instances