11 - D-Bus 在容器中

第 11 章：D-Bus 在容器中

11.1 容器与 D-Bus 的挑战

容器（Docker、Podman、LXC）使用 Linux 命名空间（namespaces）隔离进程，但 D-Bus 依赖 Unix Domain Socket 通信，这带来了特殊的挑战：

┌────────────────────────────┐     ┌──────────────────────────┐
│     Host System            │     │    Container             │
│                            │     │                          │
│  System Bus Socket         │     │  容器内进程              │
│  /var/run/dbus/            │     │  (默认无法访问宿主机     │
│  system_bus_socket    ✖────│─────│──→  的 D-Bus Socket)     │
│                            │     │                          │
│  Session Bus Socket        │     │  方案 1：挂载 Socket     │
│  /run/user/1000/bus        │     │  方案 2：容器内 dbus     │
│                      ✖─────│─────│──→  方案 3：TCP 隧道     │
│                            │     │                          │
└────────────────────────────┘     └──────────────────────────┘

问题	原因
容器内没有 System Bus	容器内没有 systemd（通常）
Socket 隔离	mount namespace 隔离了 Unix Socket
PID 隔离	D-Bus 安全依赖 PID/UID 验证
UID 映射	容器内 UID 可能与宿主机不同
策略文件	容器内没有宿主机的策略文件

11.2 方案 1：挂载宿主机 Socket（最常用）

11.2.1 Docker 挂载

# 挂载 System Bus Socket
docker run -it \
  -v /var/run/dbus/system_bus_socket:/var/run/dbus/system_bus_socket \
  ubuntu:latest \
  bash

# 在容器内验证
apt update && apt install -y dbus
busctl list

11.2.2 Podman 挂载

# Podman 支持更好的权限管理
podman run -it \
  --volume /var/run/dbus/system_bus_socket:/var/run/dbus/system_bus_socket:ro \
  ubuntu:latest \
  bash

11.2.3 Docker Compose

version: '3.8'
services:
  my-service:
    image: my-dbus-app
    volumes:
      - /var/run/dbus/system_bus_socket:/var/run/dbus/system_bus_socket
    # 可选：设置安全选项
    security_opt:
      - label:disable  # 禁用 SELinux 标签（如果导致权限问题）

11.2.4 安全注意事项

风险	说明	防护措施
权限提升	容器获得 System Bus 权限	使用 `--read-only`、最小权限策略
拒绝服务	容器可发送大量消息	限制资源、使用 cgroup
信息泄露	容器可读取系统状态	只读挂载 `:ro`
策略绕过	容器 UID 可能映射不正确	使用 `--user` 指定 UID

# 安全加固示例
docker run -it \
  --read-only \
  --volume /var/run/dbus/system_bus_socket:/var/run/dbus/system_bus_socket:ro \
  --user 1000:1000 \
  --cap-drop ALL \
  --security-opt no-new-privileges \
  ubuntu:latest \
  bash

11.3 方案 2：容器内运行 D-Bus

11.3.1 容器内启动 dbus-daemon

FROM ubuntu:22.04

RUN apt-get update && apt-get install -y \
    dbus \
    dbus-x11 \
    && rm -rf /var/lib/apt/lists/*

# 创建 D-Bus 配置
RUN mkdir -p /run/dbus && \
    dbus-uuidgen --ensure

# 启动 D-Bus 守护进程
CMD ["dbus-daemon", "--system", "--nofork"]

docker build -t dbus-in-container .
docker run -it dbus-in-container

11.3.2 容器内 Session Bus

FROM ubuntu:22.04

RUN apt-get update && apt-get install -y \
    dbus \
    python3 \
    python3-dbus \
    && rm -rf /var/lib/apt/lists/*

# 创建用户
RUN useradd -m -s /bin/bash appuser
USER appuser

# 启动 Session Bus
ENV DBUS_SESSION_BUS_ADDRESS=unix:path=/tmp/dbus-session.sock
CMD ["dbus-daemon", "--session", "--address=unix:path=/tmp/dbus-session.sock", "--nofork"]

11.3.3 多服务容器

当容器内有多个进程需要通信时，容器内 D-Bus 非常有用：

version: '3.8'
services:
  app:
    build: ./app
    depends_on:
      - dbus
    environment:
      - DBUS_SYSTEM_BUS_ADDRESS=unix:path=/var/run/dbus/system_bus_socket
    volumes:
      - dbus-socket:/var/run/dbus

  dbus:
    image: ubuntu:22.04
    command: dbus-daemon --system --nofork --address=unix:path=/var/run/dbus/system_bus_socket
    volumes:
      - dbus-socket:/var/run/dbus

volumes:
  dbus-socket:

11.4 方案 3：远程 D-Bus

D-Bus 原生仅支持本机通信，但可以通过 TCP 隧道实现跨机器通信。

11.4.1 TCP 地址配置

# 在服务器上启动 D-Bus（监听 TCP）
dbus-daemon --session \
  --address=tcp:host=0.0.0.0,port=12345 \
  --nofork

# 在客户端连接
export DBUS_SESSION_BUS_ADDRESS=tcp:host=192.168.1.100,port=12345
busctl list

11.4.2 SSH 隧道

# 通过 SSH 隧道安全地访问远程 D-Bus
ssh -L 12345:/var/run/dbus/system_bus_socket user@remote-host

# 本地访问
export DBUS_SYSTEM_BUS_ADDRESS=unix:path=/tmp/remote-dbus.sock
# 或
export DBUS_SYSTEM_BUS_ADDRESS=tcp:host=localhost,port=12345

11.4.3 systemd-remount-fs 方案

# /etc/systemd/system/remote-dbus.service
[Unit]
Description=Remote D-Bus Tunnel

[Service]
Type=simple
ExecStart=/usr/bin/ssh -N -L /var/run/dbus-remote/system_bus_socket:/var/run/dbus/system_bus_socket user@remote
Restart=always

[Install]
WantedBy=multi-user.target

11.5 Docker 容器的 D-Bus 客户端实践

11.5.1 Docker 容器调用宿主机 systemd

#!/usr/bin/env python3
"""容器内通过 D-Bus 查询宿主机 systemd 状态"""

import dbus

bus = dbus.SystemBus()

# 查询 systemd 版本
systemd = bus.get_object('org.freedesktop.systemd1', '/org/freedesktop/systemd1')
props = dbus.Interface(systemd, 'org.freedesktop.DBus.Properties')

version = props.Get('org.freedesktop.systemd1.Manager', 'Version')
print(f"宿主机 systemd 版本: {version}")

# 查询主机名
hostname1 = bus.get_object('org.freedesktop.hostname1', '/org/freedesktop/hostname1')
host_props = dbus.Interface(hostname1, 'org.freedesktop.DBus.Properties')
hostname = host_props.Get('org.freedesktop.hostname1', 'Hostname')
print(f"宿主机主机名: {hostname}")

11.5.2 Dockerfile 最佳实践

FROM python:3.11-slim

# 安装 D-Bus 库
RUN apt-get update && apt-get install -y \
    libdbus-1-dev \
    libdbus-glib-1-dev \
    python3-dbus \
    && rm -rf /var/lib/apt/lists/*

WORKDIR /app
COPY requirements.txt .
RUN pip install -r requirements.txt

COPY . .

# 注意：D-Bus Socket 在运行时挂载
# docker run -v /var/run/dbus/system_bus_socket:/var/run/dbus/system_bus_socket my-app
CMD ["python", "app.py"]

11.6 Podman 与 D-Bus

Podman 相比 Docker 的优势在于 rootless 模式和 systemd 集成。

11.6.1 rootless Podman

# rootless Podman 可以直接访问用户的 Session Bus
podman run -it \
  --volume /run/user/$(id -u)/bus:/run/user/$(id -u)/bus:ro \
  --env DBUS_SESSION_BUS_ADDRESS=unix:path=/run/user/$(id -u)/bus \
  ubuntu:latest \
  bash

11.6.2 Podman pod 中的 D-Bus

# pod.yaml
apiVersion: v1
kind: Pod
metadata:
  name: my-pod
spec:
  containers:
    - name: dbus
      image: ubuntu:22.04
      command: ["dbus-daemon", "--system", "--nofork", "--address=unix:path=/var/run/dbus/system_bus_socket"]
      volumeMounts:
        - name: dbus-socket
          mountPath: /var/run/dbus

    - name: app
      image: my-dbus-app
      env:
        - name: DBUS_SYSTEM_BUS_ADDRESS
          value: "unix:path=/var/run/dbus/system_bus_socket"
      volumeMounts:
        - name: dbus-socket
          mountPath: /var/run/dbus

  volumes:
    - name: dbus-socket
      emptyDir: {}

11.7 容器中的 D-Bus 策略

11.7.1 自定义策略文件

<!-- /etc/dbus-1/system.d/org.example.ContainerApp.conf -->
<!DOCTYPE busconfig PUBLIC "-//freedesktop//DTD D-BUS Bus Configuration 1.0//EN"
 "http://www.freedesktop.org/standards/dbus/1.0/busconfig.dtd">
<busconfig>
  <!-- 允许容器应用用户访问特定服务 -->
  <policy user="1000">
    <allow send_destination="org.freedesktop.systemd1"
           send_interface="org.freedesktop.DBus.Properties"/>
    <allow send_destination="org.freedesktop.hostname1"/>
    <deny send_destination="org.freedesktop.systemd1"
          send_interface="org.freedesktop.systemd1.Manager"
          send_member="StartUnit"/>
  </policy>
</busconfig>

11.7.2 只读策略挂载

# 挂载策略文件（只读）
docker run -it \
  --volume /var/run/dbus/system_bus_socket:/var/run/dbus/system_bus_socket:ro \
  --volume ./my-policy.conf:/etc/dbus-1/system.d/my-policy.conf:ro \
  ubuntu:latest \
  bash

11.8 常见问题排查

问题	原因	解决方案
`Failed to connect to socket`	Socket 未挂载	`-v /var/run/dbus/system_bus_socket:/var/run/dbus/system_bus_socket`
`Permission denied`	UID 不匹配	使用 `--user` 或 `--privileged`
`org.freedesktop.DBus.Error.AccessDenied`	策略文件拒绝	添加自定义策略文件
`Connection refused`	Socket 路径错误	检查 `DBUS_SYSTEM_BUS_ADDRESS`
SELinux 阻止访问	SELinux 标签不匹配	`--security-opt label:disable`
Socket 权限错误	Socket 文件权限	容器内 UID 需要 Socket 的读写权限

# 调试 D-Bus 连接问题
docker run -it \
  --volume /var/run/dbus/system_bus_socket:/var/run/dbus/system_bus_socket \
  --env DBUS_SYSTEM_BUS_ADDRESS=unix:path=/var/run/dbus/system_bus_socket \
  ubuntu:latest \
  bash -c "
    apt-get update && apt-get install -y dbus && \
    busctl list && \
    echo 'D-Bus 连接成功'
  "

本章小结

概念	说明
挂载 Socket	最简单的方式，直接挂载宿主机 Socket
容器内 D-Bus	容器内运行独立的 dbus-daemon
远程 D-Bus	通过 TCP 或 SSH 隧道实现跨机器通信
策略文件	控制容器对 D-Bus 的访问权限
安全加固	只读挂载、UID 映射、SELinux

强曰为道