沙盒

本文介绍了如何在 Bazel 中进行沙盒化、如何安装 sandboxfs 以及调试沙盒环境。

沙盒是一种权限限制策略,用于将进程彼此隔离或与系统中的资源隔离。对于 Bazel,这意味着限制对文件系统的访问权限。

Bazel 的文件系统沙盒在仅包含已知输入的工作目录中运行进程,因此编译器和其他工具不会看到它们不应访问的源文件(除非它们知道它们的绝对路径)。

沙盒不会以任何方式隐藏托管环境。进程可以自由访问文件系统上的所有文件。但是,在支持用户命名空间的平台上,进程无法修改其工作目录之外的任何文件。这样可以确保 build 图没有可能会影响 build 可再现性的隐藏依赖项。

具体而言,Bazel 会为每个操作构建一个 execroot/ 目录,该目录在执行时充当该操作的工作目录。execroot/ 包含操作的所有输入文件,并充当生成任何输出的容器。然后,Bazel 会使用操作系统提供的技术(Linux 上的容器和 macOS 上的 sandbox-exec)将操作限制在 execroot/ 中。

采用沙盒的原因

  • 如果没有操作沙盒,Bazel 不知道工具是否使用了未声明的输入文件(操作的依赖项中未明确列出的文件)。当其中一个未声明的输入文件发生更改时,Bazel 仍会认为 build 是最新版本,不会重新构建相应操作。这可能会导致增量构建不正确。

  • 错误重复使用缓存条目会导致远程缓存期间出现问题。共享缓存中错误的缓存条目会影响项目中的每个开发者,而清除整个远程缓存也不是可行的解决方案。

  • 沙盒可以模仿远程执行的行为。如果构建能够很好地与沙盒配合使用,则它很可能也适用于远程执行。通过让远程执行上传所有必要的文件(包括本地工具),您可以显著降低编译集群的维护费用,而不是每次想要试用新编译器或更改现有工具时都需要在集群中的每台机器上安装这些工具。

要使用何种沙盒策略

您可以使用策略标志选择要使用的沙盒类型(如果有)。如果使用 sandboxed 策略,Bazel 会选择下面列出的沙盒实现之一,首选操作系统专属沙盒,而非封闭的通用沙盒。如果您传递 --worker_sandboxing 标志,则持久性工作器会在通用沙盒中运行。

local(也称为 standalone)策略不会执行任何类型的沙盒化。它只是执行该操作的命令行,并将工作目录设置为工作区的 execroot。

processwrapper-sandbox 是一种沙盒策略,不需要任何“高级”功能,可直接用于任何 POSIX 系统。它会构建一个沙盒目录(其中包含指向原始源文件的符号链接),在执行该操作的命令行时将工作目录设为此目录(而不是 execroot),然后将已知的输出工件从沙盒移至 execroot,并删除沙盒。这样可以防止操作意外使用任何未声明的输入文件,以及避免在 execroot 中散播未知输出文件。

linux-sandbox 更进一步,基于 processwrapper-sandbox 构建。与 Docker 在后台执行的操作类似,它使用 Linux 命名空间(用户、装载、PID、网络和 IPC 命名空间)将操作与主机隔离开来。也就是说,这会将整个文件系统设为只读(沙盒目录除外),因此该操作不会意外修改主机文件系统上的任何内容。这可以防止有 bug 的测试意外地 rm -rf ' - '$HOME 目录等情况。(可选)您还可以阻止该操作访问网络。linux-sandbox 使用 PID 命名空间来防止操作查看任何其他进程,并在最后可靠地终止所有进程(甚至包括该操作生成的守护程序)。

darwin-sandbox 与此类似,但适用于 macOS。它使用 Apple 的 sandbox-exec 工具来实现与 Linux 沙盒大致相同的效果。

由于操作系统提供的机制的限制,linux-sandboxdarwin-sandbox 都无法在“嵌套”场景中运行。由于 Docker 还将 Linux 命名空间用于其容器魔法命令,因此除非使用 docker run --privileged,否则无法轻松地在 Docker 容器内运行 linux-sandbox。在 macOS 上,您无法在已沙盒化的进程中运行 sandbox-exec。因此,在这些情况下,Bazel 会自动回退到使用 processwrapper-sandbox

如果您希望遇到构建错误(例如,为了避免使用不太严格的执行策略意外进行构建),请明确修改 Bazel 尝试使用的执行策略列表(例如 bazel build --spawn_strategy=worker,linux-sandbox)。

动态执行通常需要通过沙盒才能在本地执行。如需停用,请传递 --experimental_local_lockfree_output 标志。动态执行会以静默方式对持久性工作器进行沙盒化。

沙盒的缺点

  • 沙盒会产生额外的设置和拆解费用。此费用的大小取决于许多因素,包括 build 的形状和主机操作系统的性能。对于 Linux,沙盒化 build 的速度不会超过百分之几。设置 --reuse_sandbox_directories 可以降低设置和拆解费用。

  • 沙盒可以有效地停用该工具可能具有的任何缓存。您可以使用持久性工作器来缓解此问题,但以较弱的沙盒保证为代价。

  • 多路复用工作器需要显式工作器支持才能进行沙盒化。不支持多路复用沙盒的工作器在动态执行下作为单工工作器运行,这可能会消耗额外的内存。

sandboxfs

sandboxfs 是一个 FUSE 文件系统,可以公开底层文件系统的任意视图,而不会造成时间损失。Bazel 使用 sandboxfs 为每个操作即时生成 execroot/,从而避免了发出数千个系统调用的成本。请注意,由于 FUSE 开销,execroot/ 中后续的 I/O 速度可能会变慢。

安装 sandboxfs

请按照以下步骤安装 sandboxfs 并使用它执行 Bazel 构建:

下载

下载并安装 sandboxfs,使 sandboxfs 二进制文件最终出现在 PATH 中。

运行 sandboxfs

  1. (仅限 macOS)安装 OSXFUSE
  2. (仅限 macOS)运行以下命令:

    sudo sysctl -w vfs.generic.osxfuse.tunables.allow_other=1
    

    您需要在安装之后和每次重新启动后执行此操作,以确保核心 macOS 系统服务可通过 sandboxfs 正常运行。

  3. 使用 --experimental_use_sandboxfs 运行 Bazel 构建。

    bazel build target --experimental_use_sandboxfs
    

问题排查

如果您看到 local(而不是 darwin-sandboxlinux-sandbox)作为已执行操作的注释,则可能意味着沙盒已停用。传递 --genrule_strategy=sandboxed --spawn_strategy=sandboxed 即可启用它。

调试

请按照以下策略调试沙盒问题。

已停用的命名空间

出于安全问题的考虑,在某些平台(如 Google Kubernetes Engine 集群节点或 Debian)上,用户命名空间默认处于停用状态。如果 /proc/sys/kernel/unprivileged_userns_clone 文件已存在且包含 0,则可以通过运行以下命令激活用户命名空间:

   sudo sysctl kernel.unprivileged_userns_clone=1

规则执行失败

沙盒可能会因系统设置而无法执行规则。如果您看到类似 namespace-sandbox.c:633: execvp(argv[0], argv): No such file or directory 的消息,请尝试为 Genrule 使用 --strategy=Genrule=local 停用沙盒,对于其他规则,尝试使用 --spawn_strategy=local 停用沙盒。

针对构建失败的详细调试

如果构建失败,请使用 --verbose_failures--sandbox_debug 让 Bazel 显示构建失败时运行的确切命令,包括设置沙盒的部分。

错误消息示例:

ERROR: path/to/your/project/BUILD:1:1: compilation of rule
'//path/to/your/project:all' failed:

Sandboxed execution failed, which may be legitimate (such as a compiler error),
or due to missing dependencies. To enter the sandbox environment for easier
debugging, run the following command in parentheses. On command failure, a bash
shell running inside the sandbox will then automatically be spawned

namespace-sandbox failed: error executing command
  (cd /some/path && \
  exec env - \
    LANG=en_US \
    PATH=/some/path/bin:/bin:/usr/bin \
    PYTHONPATH=/usr/local/some/path \
  /some/path/namespace-sandbox @/sandbox/root/path/this-sandbox-name.params --
  /some/path/to/your/some-compiler --some-params some-target)

您现在可以检查生成的沙盒目录,查看 Bazel 创建的文件,然后再次运行该命令以查看其行为方式。

请注意,当您使用 --sandbox_debug 时,Bazel 不会删除沙盒目录。除非您要主动调试,否则应停用 --sandbox_debug,因为它会随着时间的推移填满您的磁盘。