使用Google Container Builder构建后，如何在CoreOS VM触发容器拉取运行？

嘿，这个场景我之前帮朋友处理过，给你几个靠谱的方案，都是不用GKE就能在CoreOS虚拟机上触发镜像更新的：

方案1：Cloud Pub/Sub + Systemd 自动触发（推荐生产环境） #

这个方案适合需要自动监听镜像更新、无人值守的场景，利用GCP的Pub/Sub传递镜像推送完成的事件，CoreOS上用Systemd服务持续监听并执行更新。

步骤分解： #

1. 配置GCP Pub/Sub主题与权限

   • 在GCP控制台创建一个Pub/Sub主题，比如gcr-image-updates
   • 给Container Builder的服务账号添加roles/pubsub.publisher权限，让它能在镜像推送完成后发送消息到这个主题
   • 给CoreOS虚拟机的服务账号添加roles/pubsub.subscriber权限，让它能订阅这个主题

2. CoreOS上编写监听脚本
   创建/opt/pull-run-image.sh脚本，记得替换你的镜像和容器名称：

   #!/bin/bash
   PUBSUB_SUBSCRIPTION="your-subscription-name"
   IMAGE="gcr.io/your-project/your-image:latest"
   CONTAINER_NAME="your-container"
   
   # 拉取Pub/Sub消息
   while true; do
     MESSAGE=$(gcloud pubsub subscriptions pull $PUBSUB_SUBSCRIPTION --limit=1 --format="value(message.data)" --auto-ack)
     if [[ ! -z "$MESSAGE" ]]; then
       # 验证消息是否来自目标镜像的推送（可选，防止误触发）
       if echo $MESSAGE | grep -q "$IMAGE"; then
         # 停止并移除旧容器
         sudo docker stop $CONTAINER_NAME || true
         sudo docker rm $CONTAINER_NAME || true
         # 拉取新镜像并启动容器
         sudo docker pull $IMAGE
         sudo docker run -d --name $CONTAINER_NAME $IMAGE
         echo "Updated container successfully at $(date)"
       fi
     fi
     sleep 30
   done
   

   给脚本添加执行权限：chmod +x /opt/pull-run-image.sh

3. 配置Systemd服务
   创建/etc/systemd/system/gcr-image-puller.service文件：

   [Unit]
   Description=Automatically pull and run updated GCR images
   After=network.target docker.service
   
   [Service]
   User=core
   Type=simple
   ExecStart=/opt/pull-run-image.sh
   Restart=always
   RestartSec=60
   
   [Install]
   WantedBy=multi-user.target
   

   然后启用并启动服务：

   sudo systemctl daemon-reload
   sudo systemctl enable gcr-image-puller.service
   sudo systemctl start gcr-image-puller.service
   

方案2：用gcloud SSH直接触发（适合手动/CI脚本调用） #

如果你的场景不需要全自动，或者想在构建完成后立即触发更新，可以在Container Builder的构建流程最后添加一个步骤，通过SSH登录CoreOS虚拟机执行更新命令。

步骤： #

在你的cloudbuild.yaml里添加最后一个步骤：

steps:
# 前面的构建、推送步骤...
- name: 'gcr.io/cloud-builders/gcloud'
  args:
  - 'compute'
  - 'ssh'
  - 'core@your-coreos-vm-name'
  - '--zone=your-vm-zone'
  - '--command'
  - 'sudo docker stop your-container || true && sudo docker rm your-container || true && sudo docker pull gcr.io/your-project/your-image:latest && sudo docker run -d --name your-container gcr.io/your-project/your-image:latest'

注意：要给Container Builder的服务账号添加roles/compute.instanceAdmin.v1权限，确保它能SSH到虚拟机；另外CoreOS默认用core用户，需要sudo权限操作Docker。

方案3：Webhook + 小型HTTP服务（灵活定制） #

如果需要更灵活的触发逻辑，比如自定义验证、多镜像处理，可以在CoreOS上跑一个小型HTTP服务，让Container Builder在构建完成后调用这个Webhook来触发更新。

步骤： #

1. CoreOS上部署Webhook服务
   用Python写个简单的Flask服务（先安装Flask：sudo pip install flask），创建/opt/webhook-server.py：

   from flask import Flask, request
   import subprocess
   import hmac
   import hashlib
   
   app = Flask(__name__)
   SECRET_KEY = "your-secret-key"  # 自定义密钥，用于验证请求合法性
   IMAGE = "gcr.io/your-project/your-image:latest"
   CONTAINER_NAME = "your-container"
   
   def validate_request(req):
       signature = req.headers.get('X-Signature')
       if not signature:
           return False
       digest = hmac.new(SECRET_KEY.encode(), req.data, hashlib.sha256).hexdigest()
       return hmac.compare_digest(f"sha256={digest}", signature)
   
   @app.route('/update', methods=['POST'])
   def update_image():
       if not validate_request(request):
           return "Unauthorized", 401
       # 执行容器更新逻辑
       subprocess.run(['sudo', 'docker', 'stop', CONTAINER_NAME], check=False)
       subprocess.run(['sudo', 'docker', 'rm', CONTAINER_NAME], check=False)
       subprocess.run(['sudo', 'docker', 'pull', IMAGE], check=True)
       subprocess.run(['sudo', 'docker', 'run', '-d', '--name', CONTAINER_NAME, IMAGE], check=True)
       return "Updated successfully", 200
   
   if __name__ == '__main__':
       app.run(host='0.0.0.0', port=8080)
   

   然后用Systemd管理这个服务，创建/etc/systemd/system/webhook-server.service：

   [Unit]
   Description=Image update webhook server
   After=network.target docker.service
   
   [Service]
   User=core
   Type=simple
   ExecStart=/usr/bin/python3 /opt/webhook-server.py
   Restart=always
   RestartSec=10
   
   [Install]
   WantedBy=multi-user.target
   

   启用并启动服务：

   sudo systemctl daemon-reload
   sudo systemctl enable webhook-server.service
   sudo systemctl start webhook-server.service
   

   还要配置防火墙允许8080端口的入站请求。

2. Container Builder中调用Webhook
   在cloudbuild.yaml里添加最后一步：

   - name: 'gcr.io/cloud-builders/curl'
     args:
     - '-X'
     - 'POST'
     - 'http://your-coreos-vm-ip:8080/update'
     - '-H'
     - 'X-Signature: sha256=$(echo -n "payload" | openssl dgst -sha256 -hmac "your-secret-key" | sed "s/^.* //")'
   

额外注意事项： #

• Docker权限：CoreOS默认core用户需要sudo操作Docker，你也可以把core加入docker组（sudo usermod -aG docker core），但要注意安全风险。
• GCR拉取权限：CoreOS虚拟机的服务账号需要roles/storage.objectViewer权限，因为GCR镜像存储在Cloud Storage桶中。
• 容器可靠性：如果需要容器自动重启、状态管理，推荐用Systemd直接管理容器（写一个容器的Systemd单元），这样更新时只需要systemctl restart your-container.service即可，比手动调用docker命令更稳定。

内容的提问来源于stack exchange，提问作者znat