Kann man GUI-Anwendungen in Docker-container?

Xauthority wird ein Problem mit neueren Systemen. Ich kann entweder verwerfen Schutz mit xhost + vor dem laufen meine docker-Container, oder ich kann Sie übergeben in eine gut vorbereitete Xauthority-Datei. Typische Xauthority-Dateien werden Hostnamen bestimmten. Mit docker, jeder container kann eine andere host-name (set mit docker run-h), aber auch Einstellung der hostname des Containers identisch mit dem host-system nicht helfen in meinem Fall. xeyes (ich mag dieses Beispiel) einfach ignorieren würde den magic cookie und geben keine Anmeldeinformationen an den server. Daher erhalten wir eine Fehlermeldung "No protocol specified Cannot open display'

Den Xauthority-Datei kann auf eine Weise geschrieben werden, so dass der hostname egal.
Wir müssen die Authentifizierung Familie 'FamilyWild'. Ich bin mir nicht sicher, ob xauth ist eine richtige Befehlszeile für dieses, so ist hier ein Beispiel, das verbindet xauth und sed zu tun. Wir müssen die ersten 16 bits der nlist Ausgabe. Der Wert von FamilyWild ist 65535 oder 0xffff.

docker build -t xeyes - << __EOF__
FROM debian
RUN apt-get update
RUN apt-get install -qqy x11-apps
ENV DISPLAY :0
CMD xeyes
__EOF__
XSOCK=/tmp/.X11-unix
XAUTH=/tmp/.docker.xauth
xauth nlist :0 | sed -e 's/^..../ffff/' | xauth -f $XAUTH nmerge -
docker run -ti -v $XSOCK:$XSOCK -v $XAUTH:$XAUTH -e XAUTHORITY=$XAUTH xeyes

Mit docker Datenmengen ist es sehr einfach zu setzen xorg ' s unix-domain-socket in den container.

Beispielsweise mit einem Dockerfile wie diese:

FROM debian
RUN apt-get update
RUN apt-get install -qqy x11-apps
ENV DISPLAY :0
CMD xeyes

Können Sie das folgende tun:

$ docker build -t xeyes - < Dockerfile
$ XSOCK=/tmp/.X11-unix/X0
$ docker run -v $XSOCK:$XSOCK xeyes

Dies ist natürlich im wesentlichen das gleiche wie X-forwarding. Es gewährt dem container vollen Zugriff auf den xserver auf dem host, so ist es nur zu empfehlen, wenn Sie Vertrauen, was drin ist.

Hinweis:, Wenn Sie um die Sicherheit besorgt sind, eine bessere Lösung wäre, beschränken sich die app mit obligatorisch- oder role-based-access control. Andockfenster erreicht, ziemlich gut isoliert, sondern es war konzipiert mit einem anderen Zweck im Auge. Verwenden AppArmor, SELinux, oder GrSecurity, die entworfen wurden, um Ihre Anliegen.

OSX

Jürgen Weigert hat die beste Antwort, die für mich gearbeitet auf Ubuntu, aber auf OSX, docker läuft in der VirtualBox und damit die Lösung funktioniert nicht ohne etwas mehr Arbeit.

Habe ich es mit diesen zusätzlichen Zutaten:

1. Xquartz (OSX nicht mehr im Lieferumfang von X11-server)
2. socket-Weiterleitung mit schockiert (brew install schockiert)
3. bash-Skript zum starten der container

Ich würde schätzen, user-Kommentare zu verbessern, dass diese Antwort für OSX, ich bin nicht sicher, ob socket-forwarding für X sicher ist, aber mein Verwendungszweck ist für die Ausführung von docker-container vor Ort nur.

Auch, das Skript ist ein bisschen fragil, dass es nicht einfach um die IP-Adresse der Maschine, da es auf unsere lokalen wireless -, so ist es immer einige zufällige IP.

Dem BASH-script, das ich verwenden, um das starten der container:

#!/usr/bin/env bash

CONTAINER=py3:2016-03-23-rc3
COMMAND=/bin/bash
NIC=en0

# Grab the ip address of this box
IPADDR=$(ifconfig $NIC | grep "inet " | awk '{print $2}')

DISP_NUM=$(jot -r 1 100 200)  # random display number between 100 and 200

PORT_NUM=$((6000 + DISP_NUM)) # so multiple instances of the container won't interfer with eachother

socat TCP-LISTEN:${PORT_NUM},reuseaddr,fork UNIX-CLIENT:\"$DISPLAY\" 2>&1 > /dev/null &

XSOCK=/tmp/.X11-unix
XAUTH=/tmp/.docker.xauth.$USER.$$
touch $XAUTH
xauth nlist $DISPLAY | sed -e 's/^..../ffff/' | xauth -f $XAUTH nmerge -

docker run \
    -it \
    --rm \
    --user=$USER \
    --workdir="/Users/$USER" \
    -v "/Users/$USER:/home/$USER:rw" \
    -v $XSOCK:$XSOCK:rw \
    -v $XAUTH:$XAUTH:rw \
    -e DISPLAY=$IPADDR:$DISP_NUM \
    -e XAUTHORITY=$XAUTH \
    $CONTAINER \
    $COMMAND

rm -f $XAUTH
kill %1       # kill the socat job launched above

Ich bin in der Lage zu bekommen xeyes und matplotlib arbeiten mit diesem Ansatz.

Windows 7+

Es ist ein bisschen leichter auf Windows 7+ mit MobaXterm:

1. Installieren MobaXterm für windows
2. Start MobaXterm
3. Konfiguration von X-server: Einstellungen -> X11 (tab) -> set X11 Remote-Zugriff zu voll
4. Verwenden Sie dieses BASH-Skript zum starten der container

run_docker.bash:

#!/usr/bin/env bash

CONTAINER=py3:2016-03-23-rc3
COMMAND=/bin/bash
DISPLAY="$(hostname):0"
USER=$(whoami)

docker run \
    -it \
    --rm \
    --user=$USER \
    --workdir="/home/$USER" \
    -v "/c/Users/$USER:/home/$USER:rw" \
    -e DISPLAY \
    $CONTAINER \
    $COMMAND

Sharing-host-display :0, wie bereits in einigen anderen Antworten, hat zwei Nachteile:

• Es bricht container isolation durch einige X-Sicherheitslücken. Zum Beispiel, keylogging-mit xev oder xinput möglich ist, und die Fernsteuerung von host-Anwendungen mit xdotool.
• Anwendungen kann die rendering-Probleme und schlechte RAM-Zugriff-Fehler aufgrund von fehlenden gemeinsamen Speicher für X extension MIT-SHM. (Kann auch fest mit der Isolierung erniedrigender option --ipc=host).

Unten ein Beispiel-Skript zum ausführen eines docker-image in Xephyr, das behebt diese Probleme.

• Es vermeidet X-security-Lecks als die docker-Anwendungen laufen in einer verschachtelten X-server.
• MIT-SHM ist deaktiviert zu vermeiden, Zugriff auf RAM Fehler.
• Container verbesserte Sicherheit mit --cap-drop ALL --security-opt no-new-privileges. Auch die container-Benutzer ist nicht root.
• Ein X cookie wird erstellt, um den Zugriff auf Xephyr-display.

Das Skript erwartet, dass einige Argumente, zunächst eine host-window-manager für die Ausführung im Xephyr, der zweite ein docker-image, Optional Dritte
ein Bild-Befehl ausgeführt werden.
Zum ausführen einer desktop-Umgebung im Andockfenster ":" verwenden statt einer host-Fenster-manager.

Schließen Xephyr-Fenster beendet docker-container-Anwendungen. Die Kündigung der dockered Anwendungen schließt Xephyr Fenster.

Beispiele:

• xephyrdocker "openbox --sm-disable" x11docker/lxde pcmanfm
• xephyrdocker : x11docker/lxde
• xephyrdocker xfwm4 --device /dev/snd jess/nes /games/zelda.rom

xephyrdocker Skript:

#! /bin/bash
#
# Xephyrdocker:     Example script to run docker GUI applications in Xephyr.
#
# Usage:
#   Xephyrdocker WINDOWMANAGER DOCKERIMAGE [IMAGECOMMAND [ARGS]]
#
# WINDOWMANAGER     host window manager for use with single GUI applications.
#                   To run without window manager from host, use ":"
# DOCKERIMAGE       docker image containing GUI applications or a desktop
# IMAGECOMMAND      command to run in image
#
Windowmanager="$1" && shift
Dockerimage="$*"

# Container user
Useruid=$(id -u)
Usergid=$(id -g)
Username="$(id -un)"
[ "$Useruid" = "0" ] && Useruid=1000 && Usergid=1000 && Username="user$Useruid"

# Find free display number
for ((Newdisplaynumber=1 ; Newdisplaynumber <= 100 ; Newdisplaynumber++)) ; do
  [ -e /tmp/.X11-unix/X$Newdisplaynumber ] || break
done
Newxsocket=/tmp/.X11-unix/X$Newdisplaynumber

# cache folder and files
Cachefolder=/tmp/Xephyrdocker_X$Newdisplaynumber
[ -e "$Cachefolder" ] && rm -R "$Cachefolder"
mkdir -p $Cachefolder
Xclientcookie=$Cachefolder/Xcookie.client
Xservercookie=$Cachefolder/Xcookie.server
Xinitrc=$Cachefolder/xinitrc
Etcpasswd=$Cachefolder/passwd

# command to run docker
# --rm                               created container will be discarded.
# -e DISPLAY=$Newdisplay             set environment variable to new display
# -e XAUTHORITY=/Xcookie             set environment variable XAUTHORITY to provided cookie
# -v $Xclientcookie:/Xcookie:ro      provide cookie file to container
# -v $NewXsocket:$NewXsocket:ro      Share new X socket of Xephyr
# --user $Useruid:$Usergid           Security: avoid root in container
# -v $Etcpasswd:/etc/passwd:ro       /etc/passwd file with user entry
# --group-add audio                  Allow access to /dev/snd if shared with '--device /dev/snd' 
# --cap-drop ALL                     Security: disable needless capabilities
# --security-opt no-new-privileges   Security: forbid new privileges
Dockercommand="docker run --rm \
  -e DISPLAY=:$Newdisplaynumber \
  -e XAUTHORITY=/Xcookie \
  -v $Xclientcookie:/Xcookie:ro \
  -v $Newxsocket:$Newxsocket:rw \
  --user $Useruid:$Usergid \
  -v $Etcpasswd:/etc/passwd:ro \
  --group-add audio \
  --env HOME=/tmp \
  --cap-drop ALL \
  --security-opt no-new-privileges \
  $(command -v docker-init >/dev/null && echo --init) \
  $Dockerimage"

echo "docker command: 
$Dockercommand
"

# command to run Xorg or Xephyr
# /usr/bin/Xephyr                an absolute path to X server executable must be given for xinit
# :$Newdisplaynumber             first argument has to be new display
# -auth $Xservercookie           path to cookie file for X server. Must be different from cookie file of client, not sure why
# -extension MIT-SHM             disable MIT-SHM to avoid rendering glitches and bad RAM access (+ instead of - enables it)
# -nolisten tcp                  disable tcp connections for security reasons
# -retro                         nice retro look
Xcommand="/usr/bin/Xephyr :$Newdisplaynumber \
  -auth $Xservercookie \
  -extension MIT-SHM \
  -nolisten tcp \
  -screen 1000x750x24 \
  -retro"

echo "X server command:
$Xcommand
"

# create /etc/passwd with unprivileged user
echo "root:x:0:0:root:/root:/bin/sh" >$Etcpasswd
echo "$Username:x:$Useruid:$Usergid:$Username,,,:/tmp:/bin/sh" >> $Etcpasswd

# create xinitrc
{ echo "#! /bin/bash"

  echo "# set environment variables to new display and new cookie"
  echo "export DISPLAY=:$Newdisplaynumber"
  echo "export XAUTHORITY=$Xclientcookie"

  echo "# same keyboard layout as on host"
  echo "echo '$(setxkbmap -display $DISPLAY -print)' | xkbcomp - :$Newdisplaynumber"

  echo "# create new XAUTHORITY cookie file" 
  echo ":> $Xclientcookie"
  echo "xauth add :$Newdisplaynumber . $(mcookie)"
  echo "# create prepared cookie with localhost identification disabled by ffff,"
  echo "# needed if X socket is shared instead connecting over tcp. ffff means 'familiy wild'"
  echo 'Cookie=$(xauth nlist '":$Newdisplaynumber | sed -e 's/^..../ffff/')" 
  echo 'echo $Cookie | xauth -f '$Xclientcookie' nmerge -'
  echo "cp $Xclientcookie $Xservercookie"
  echo "chmod 644 $Xclientcookie"

  echo "# run window manager in Xephyr"
  echo $Windowmanager' & Windowmanagerpid=$!'

  echo "# show docker log"
  echo 'tail --retry -n +1 -F '$Dockerlogfile' 2>/dev/null & Tailpid=$!'

  echo "# run docker"
  echo "$Dockercommand"
} > $Xinitrc

xinit  $Xinitrc -- $Xcommand
rm -Rf $Cachefolder

Diesem script bleibt bei x11docker wiki.
Eine erweiterte Skript ist x11docker, dass unterstützt auch features wie GPU-Beschleunigung, webcam und Drucker-sharing-und so weiter.

Die Lösung gegeben http://fabiorehm.com/blog/2014/09/11/running-gui-apps-with-docker/ scheint eine einfache Möglichkeit zu starten von GUI-Anwendungen aus dem inneren der Behälter ( ich habe versucht firefox über ubuntu 14.04), aber ich fand, dass eine kleine zusätzliche änderung ist erforderlich, um die Lösung des Autors.

Insbesondere für den Betrieb der container, der Autor erwähnt hat:

    docker run -ti --rm \
    -e DISPLAY=$DISPLAY \
    -v /tmp/.X11-unix:/tmp/.X11-unix \
    firefox

Aber ich fand, dass (basierend auf einen bestimmten Kommentar auf der gleichen Seite), dass zwei zusätzliche Optionen

    -v $HOME/.Xauthority:$HOME/.Xauthority

und

    -net=host 

angegeben werden müssen, während der Ausführung der container für firefox, um richtig zu arbeiten:

    docker run -ti --rm \
    -e DISPLAY=$DISPLAY \
    -v /tmp/.X11-unix:/tmp/.X11-unix \
    -v $HOME/.Xauthority:$HOME/.Xauthority \
    -net=host \
    firefox

Erstellt habe ich ein docker image mit den Informationen auf dieser Seite und diese zusätzliche Befunde: https://hub.docker.com/r/amanral/ubuntu-firefox/

Es ist eine andere Lösung, die von Herrn.Müll Sie GUI-apps in einem container ohne Verwendung von VNC, SSH und X11-forwarding. Es wird erwähnt hier zu.

Ich bin spät zur party, aber für Mac-Benutzer, die nicht wollen, gehen Sie die XQuartz Weg, hier ist ein funktionierendes Beispiel, baut ein Fedora-Image, mit einer Desktop-Umgebung (xfce), mit Xvfb und VNC. Es ist einfach und funktioniert:

• https://github.com/ddual/docker_recipes#fedora-with-an-x-window-system
• https://github.com/ddual/docker_recipes/tree/master/fedora_gui

Auf einem Mac, können Sie einfach Zugriff auf die Screen-Sharing (Standard -) Anwendung, eine Verbindung zu localhost:5901.

Dockerfile:

FROM fedora

USER root

# Set root password, so I know it for the future
RUN echo "root:password123" | chpasswd

# Install Java, Open SSL, etc.
RUN dnf update -y --setopt=deltarpm=false  \
 && dnf install -y --setopt=deltarpm=false \
                openssl.x86_64             \
                java-1.8.0-openjdk.x86_64  \
                xorg-x11-server-Xvfb       \
                x11vnc                     \
                firefox                    \
                @xfce-desktop-environment  \
 && dnf clean all

# Create developer user (password: password123, uid: 11111)
RUN useradd -u 11111 -g users -d /home/developer -s /bin/bash -p $(echo password123 | openssl passwd -1 -stdin) developer

# Copy startup script over to the developer home
COPY start-vnc.sh /home/developer/start-vnc.sh
RUN chmod 700 /home/developer/start-vnc.sh
RUN chown developer.users /home/developer/start-vnc.sh

# Expose VNC, SSH
EXPOSE 5901 22

# Set up VNC Password and DisplayEnvVar to point to Display1Screen0
USER developer
ENV  DISPLAY :1.0
RUN  mkdir ~/.x11vnc
RUN  x11vnc -storepasswd letmein ~/.x11vnc/passwd

WORKDIR /home/developer
CMD ["/home/developer/start-vnc.sh"]

start-vnc.sh

#!/bin/sh

Xvfb :1 -screen 0 1024x768x24 &
sleep 5
x11vnc -noxdamage -many -display :1 -rfbport 5901 -rfbauth ~/.x11vnc/passwd -bg
sleep 2
xfce4-session &

bash
# while true; do sleep 1000; done

Kontrolle der verlinkten readme für bauen und Befehle ausführen, wenn Sie wollen/brauchen.

Für OpenGL-rendering mit dem Nvidia-Treiber, verwenden Sie das folgende Bild:

https://github.com/thewtex/docker-opengl-nvidia

Für andere OpenGL-Implementierungen, stellen Sie sicher, das Bild hat die gleiche Umsetzung wie der host.

Die anderen Lösungen funktionieren sollte, aber hier ist eine Lösung für docker-compose.

Um diesen Fehler zu beheben, muss man $DISPLAY und .X11-unix zu docker, sowie erteilen Sie dem Benutzer, der gestartet Andockfenster Zugang zu xhost.

Innerhalb docker-compose.yml Datei:

version: '2'
services:
    node:
        build: .
        container_name: node
        environment:
            - DISPLAY
        volumes:
            - /tmp/.X11-unix:/tmp/.X11-unix

Im terminal oder einem Skript:

• xhost +si:localuser:$USER
• xhost +local:docker
• export DISPLAY=$DISPLAY
• docker-compose up

Andockfenster mit BRÜCKE-Netzwerk.
für Ubuntu 16.04 mit display-manager lightdm:

cd /etc/lightdm/lightdm.conf.d
sudo nano user.conf

[Seat:*]
xserver-allow-tcp=true
xserver-command=X -listen tcp

können Sie mehr private Berechtigungen

xhost +

docker run --volume="$HOME/.Xauthority:/root/.Xauthority:rw" --env="DISPLAY=$HOST_IP_IN_BRIDGE_NETWORK:0" --net=bridge $container_name