一键安装containerd +nerdctl+buildkit 二进制安装,支持多CPU并发构建

原创 已于 2026-04-09 14:12:00 修改 · 728 阅读 · 6 ·
本内容遵循CC 4.0 BY-SA版权协议
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
GEO检测
于 2024-03-16 11:09:49 首次发布
文章描述了一个脚本，用于在Linux系统上安装和配置containerd、cni、crictl、nerdctl和buildkit等容器工具，包括版本管理和系统服务设置。

脚本会安装以下组件
containerd
runc
cni
crictl
nerdctl
buildkit

nerdctl 使用与docker命令相似
buildkit 的功能为建立镜像

#安装containerd 2.0以上需要内核 版本4.14以上

yum install wget -y

cat > install_containerd.sh << 'EOS'
#!/bin/bash
############################
#                          #
#    install containerd    #
#                          #
############################
arch=amd64
cni_version=v1.4.1
containerd_version=1.7.14
crictl_version=1.29.0
nerdctl_version=1.7.4
runc_version=1.1.12
buildkit_version=0.13.0

##2.2.2
#cni_version=v1.9.1
#containerd_version=2.2.2
#crictl_version=1.35.0
#nerdctl_version=2.2.2
#runc_version=1.3.4
#buildkit_version=0.28.1

export CNI_PLUGINS_URL="https://github.com/containernetworking/plugins/releases/download/${cni_version}/cni-plugins-linux-${arch}-${cni_version}.tgz"
export CRI_CONTAINERD_URL="https://github.com/containerd/containerd/releases/download/v${containerd_version}/containerd-static-${containerd_version}-linux-${arch}.tar.gz"
export CRICTL_URL="https://github.com/kubernetes-sigs/cri-tools/releases/download/v${crictl_version}/crictl-v${crictl_version}-linux-${arch}.tar.gz"
export NERDCTL_URL="https://github.com/containerd/nerdctl/releases/download/v${nerdctl_version}/nerdctl-${nerdctl_version}-linux-${arch}.tar.gz"
export RUNC_URL="https://github.com/opencontainers/runc/releases/download/v${runc_version}/runc.${arch}"
export BUILDKIT_URL="https://github.com/moby/buildkit/releases/download/v${buildkit_version}/buildkit-v${buildkit_version}.linux-${arch}.tar.gz"


export CNI_PLUGINS_PACKAGE=`basename $CNI_PLUGINS_URL`
export CRI_CONTAINERD_PACKAGE=`basename $CRI_CONTAINERD_URL`
export CRICTL_PACKAGE=`basename $CRICTL_URL`
export NERDCTL_PACKAGE=`basename $NERDCTL_URL`
export RUNC_PACKAGE=`basename $RUNC_URL`
export BUILDKIT_PACKAGE=`basename $BUILDKIT_URL`


#下载
if [ ! -f $CNI_PLUGINS_PACKAGE ]; then
    wget $CNI_PLUGINS_URL;
fi

if [ ! -f $CRI_CONTAINERD_PACKAGE ]; then
    wget $CRI_CONTAINERD_URL;
fi

if [ ! -f $CRICTL_PACKAGE ]; then
    wget $CRICTL_URL;
fi

if [ ! -f $NERDCTL_PACKAGE ]; then
    wget $NERDCTL_URL;
fi

if [ ! -f $RUNC_PACKAGE ]; then
    wget $RUNC_URL;
fi

if [ ! -f $BUILDKIT_PACKAGE ]; then
    wget $BUILDKIT_URL;
fi


#安装
if [ -f $CNI_PLUGINS_PACKAGE ]; then
    mkdir -pv /etc/cni/{net.d,bin}
    tar -xf $CNI_PLUGINS_PACKAGE -C /usr/local/bin/
fi

if [ -f $CRI_CONTAINERD_PACKAGE ]; then
    tar -xf $CRI_CONTAINERD_PACKAGE -C /usr/local
fi

if [ -f $CRICTL_PACKAGE ]; then
    tar -xf $CRICTL_PACKAGE -C /usr/local/bin/
fi

if [ -f $NERDCTL_PACKAGE ]; then
    tar -xf $NERDCTL_PACKAGE -C /usr/local/bin/
    ln -s /usr/local/bin/nerdctl /usr/bin/docker
fi

if [ -f $RUNC_PACKAGE ]; then
    \cp $RUNC_PACKAGE  /usr/local/sbin/runc -rf
    chmod 777 /usr/local/sbin/runc
fi


if [ -f $BUILDKIT_PACKAGE ]; then
    tar -xf $BUILDKIT_PACKAGE -C /usr/local/
fi


cat > /usr/lib/systemd/system/containerd.service <<EOF
[Unit]
Description=containerd container runtime
Documentation=https://containerd.io
After=network.target local-fs.target

[Service]
ExecStartPre=-/sbin/modprobe overlay
ExecStart=/usr/local/bin/containerd
Type=notify
Delegate=yes
KillMode=process
Restart=always
RestartSec=5
LimitNPROC=infinity
LimitCORE=infinity
LimitNOFILE=infinity
TasksMax=infinity
OOMScoreAdjust=-999

[Install]
WantedBy=multi-user.target
EOF


cat > /etc/modules-load.d/containerd.conf <<EOF
overlay
br_netfilter
EOF
systemctl restart systemd-modules-load.service


cat > /etc/sysctl.d/99-kubernetes-cri.conf <<EOF
net.bridge.bridge-nf-call-iptables  = 1
net.ipv4.ip_forward                 = 1
net.bridge.bridge-nf-call-ip6tables = 1
EOF
sysctl -p

mkdir -p /etc/containerd
containerd config default > /etc/containerd/config.toml

sed -i "s#SystemdCgroup\ \=\ false#SystemdCgroup\ \=\ true#g" /etc/containerd/config.toml
cat /etc/containerd/config.toml | grep SystemdCgroup

sed -i "s#registry.k8s.io#registry.aliyuncs.com/google_containers#g" /etc/containerd/config.toml
cat /etc/containerd/config.toml | grep sandbox_image

sed -i 's#config_path\ \=\ \"\"#config_path\ \=\ \"/etc/containerd/certs.d\"#g' /etc/containerd/config.toml
cat /etc/containerd/config.toml | grep certs.d

# 配置加速器
mkdir /etc/containerd/certs.d/docker.io -pv
cat > /etc/containerd/certs.d/docker.io/hosts.toml << EOF
server = "https://docker.io"
[host."https://docker.1ms.run"]
  capabilities = ["pull", "resolve"]
  #skip_verify = true
[host."https://docker.xuanyuan.me"]
  capabilities = ["pull", "resolve"]
  #skip_verify = true
[host."https://docker.1panel.live"]
  capabilities = ["pull", "resolve"]
  #skip_verify = true
[host."https://docker.m.daocloud.io"]
  capabilities = ["pull", "resolve"]
  #skip_verify = true
[host."https://dockerproxy.cn"]
  capabilities = ["pull", "resolve"]
  #skip_verify = true
EOF

#配置私有仓库
mkdir -p /etc/containerd/certs.d/localhost:5000

# 创建 hosts.toml 配置文件
cat > /etc/containerd/certs.d/localhost:5000/hosts.toml << 'EOF'
server = "http://localhost:5000"

[host."http://localhost:5000"]
  capabilities = ["pull", "resolve", "push"]
  skip_verify = true
  #ca = "/etc/containerd/certs.d/localhost:5000/ca.crt"
  #[host."http://localhost:5000".header]
  #  Authorization = ["Basic dXNlcm5hbWU6cGFzc3dvcmQ="]  # base64(username:password)
EOF

systemctl daemon-reload
systemctl enable containerd
systemctl start containerd

mkdir /etc/nerdctl/ -pv
cat > /etc/nerdctl/nerdctl.toml << EOF
namespace      = "k8s.io"
insecure_registry = true
cni_path  = "/usr/local/bin"
EOF

mkdir -pv /etc/buildkit/
cat > /etc/buildkit/buildkitd.toml << 'EOF'
insecure-entitlements = [ "network.host", "security.insecure" ]

[worker.oci]
  enabled = true
  platforms = [ "linux/amd64", "linux/arm64" ]
  snapshotter = "auto"
  rootless = false
  noProcessSandbox = false
  gc = true
  gckeepstorage = 9000
  max-parallelism = 4

  [[worker.oci.gcpolicy]]
    keepBytes = 512000000
    keepDuration = 172800
    filters = [ "type==source.local", "type==exec.cachemount", "type==source.git.checkout"]

#私仓配置
[registry."harbor.lady.cn"]
  mirrors = ["harbor.lady.cn"]
  http = true       #使用http协议
  insecure = true    #不验证安全证书
EOF

cat > /etc/systemd/system/buildkit.service << 'EOF'
[Unit]
Description=BuildKit
Documentation=https://github.com/moby/buildkit

[Service]
ExecStart=/usr/local/bin/buildkitd --oci-worker=false --containerd-worker=true

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable buildkit
systemctl start buildkit


#手动创建network
nerdctl network create --driver bridge   --subnet 10.144.0.0/16   --gateway 10.144.0.1  bridge --label="nerdctl/default-network"=true 
EOS

bash install_containerd.sh

四、测试

mkdir test
cd test
cat > Dockerfile << 'EOF'
FROM alpine
EOF

docker build --platform arm64,amd64 -t  test1 .

[+] Building 4.6s (7/7) FINISHED                                                                                                                                                                                                                                
 => [internal] load build definition from Dockerfile                                                                                                                                                                                                       0.0s
 => => transferring dockerfile: 49B                                                                                                                                                                                                                        0.0s
 => [internal] load .dockerignore                                                                                                                                                                                                                          0.0s
 => => transferring context: 2B                                                                                                                                                                                                                            0.0s
 => [linux/amd64 internal] load metadata for docker.io/library/alpine:latest                                                                                                                                                                               0.6s
 => [linux/arm64 internal] load metadata for docker.io/library/alpine:latest                                                                                                                                                                               2.6s
 => CACHED [linux/amd64 1/1] FROM docker.io/library/alpine@sha256:21a3deaa0d32a8057914f36584b5288d2e5ecc984380bc0118285c70fa8c9300                                                                                                                         0.0s
 => => resolve docker.io/library/alpine@sha256:21a3deaa0d32a8057914f36584b5288d2e5ecc984380bc0118285c70fa8c9300                                                                                                                                            0.0s
 => [linux/arm64 1/1] FROM docker.io/library/alpine@sha256:21a3deaa0d32a8057914f36584b5288d2e5ecc984380bc0118285c70fa8c9300                                                                                                                                1.7s
 => => resolve docker.io/library/alpine@sha256:21a3deaa0d32a8057914f36584b5288d2e5ecc984380bc0118285c70fa8c9300                                                                                                                                            0.0s
 => => sha256:9b3977197b4f2147bdd31e1271f811319dcd5c2fc595f14e81f5351ab6275b99 2.10MB / 2.72MB                                                                                                                                                             1.9s
 => exporting to oci image format                                                                                                                                                                                                                          1.9s
 => => exporting layers                                                                                                                                                                                                                                    0.0s
 => => exporting manifest sha256:1bfa860f8991c3b6952fbb59493e8c346c4e46a78fff4099b4d95d87ad741283                                                                                                                                                          0.0s
 => => exporting config sha256:69d06718b798aebf8c13b1a53299d1f791f8118dcd0fa9a0a827bf2f595aa9ca                                                                                                                                                            0.0s
 => => exporting manifest sha256:e3b23b57855e132673409165a5a6559180c32d273399f13cf078163fea7398a0                                                                                                                                                          0.0s
 => => exporting config sha256:35e223a20dbce8c0b81d3257f8cad0c7b2b35d8e18eadfec7eeb7de86a472e7b                                                                                                                                                            0.0s
 => => exporting manifest list sha256:631ae1b627eb47a92dbaa80d1f2f4d38bd0b2b9196736076053e02689a27101c                                                                                                                                                     0.0s
 => => sending tarball                                                                                                                                                                                                                                     0.1s
unpacking docker.io/library/test1:latest (sha256:631ae1b627eb47a92dbaa80d1f2f4d38bd0b2b9196736076053e02689a27101c)...done

在这里插入图片描述

测试动行时

docker  run -d -p 80:80 nginx

在这里插入图片描述

iptables -t nat -nvL

在这里插入图片描述

五、配置私有仓库
vim /etc/containerd/config.toml

    [plugins."io.containerd.grpc.v1.cri".registry]
      config_path = ""

      [plugins."io.containerd.grpc.v1.cri".registry.auths]
        [plugins."io.containerd.grpc.v1.cri".registry.auths."harbor.kids.com"]
          username = "admin"
          password = "Harbor123456"

      [plugins."io.containerd.grpc.v1.cri".registry.configs]

        [plugins."io.containerd.grpc.v1.cri".registry.configs."harbor.kids.com".tls]
          insecure_skip_verify = true

      [plugins."io.containerd.grpc.v1.cri".registry.headers]

      [plugins."io.containerd.grpc.v1.cri".registry.mirrors]

        [plugins."io.containerd.grpc.v1.cri".registry.mirrors."docker.io"]
           endpoint = ["https://registry-1.docker.io"]

        [plugins."io.containerd.grpc.v1.cri".registry.mirrors."harbor.kids.com"]
           endpoint = ["https://harbor.kids.com"]       #如果是http时，改为http

      [plugins."io.containerd.grpc.v1.cri".registry.tlss]

        [plugins."io.containerd.grpc.v1.cri".registry.tlss."harbor.kids.com"]
          ca_file = "/home/data/cert/ca.pem"
          cert_file = "/home/data/cert/harbor.pem"
          key_file = "/home/data/cert/harbor-key.pem"

六、nerdctl 使用http 的harbor

nerdctl login harbor.cadp.com --insecure-registry -u admin -p Harbor123456

WARN[0000] WARNING! Using --password via the CLI is insecure. Use --password-stdin.
WARN[0000] skipping verifying HTTPS certs for "harbor.cadp.com"
WARNING: Your password will be stored unencrypted in /root/.docker/config.json.
Configure a credential helper to remove this warning. See
https://docs.docker.com/engine/reference/commandline/login/#credentials-store

Login Succeeded

#拉取镜像

docker pull harbor.cadp.com/smartgate/gwit:v5 --insecure-registry

#这个为ctr 下载镜像命令
ctr -n k8s.io i pull --plain-http   harbor.cadp.com/smartgate/gwit:v5
# --plain-http 表示使用http下载

#推送镜像

docker push harbor.cadp.com/public/elasticsearch:7.13.1 --insecure-registry
  • nerdctl docker ctr命令在这里插入图片描述
标签
#containerd
蓝~天~
关注
非sudo用户如何安全使用Docker：Rootless模式实战指南
weixin_30274627的博客
06-22 333
Docker Rootless模式是一种基于Linux用户命名空间（userns）的容器运行时安全机制，它通过UID/GID映射、fuse-overlayfs文件系统和slirp4netns网络栈，在不提升权限的前提下实现容器隔离。其核心原理是将容器内root身份映射为宿主机非特权用户，从而规避docker组等价root的安全风险。相比传统root模式，Rootless在权限控制、逃逸防护和多租户隔离方面具备天然优势，适用于CI/CD流水线、Kubernetes边缘节点及受限生产环境。本文聚焦无sudo权限
银河麒麟V10 ARM64 kubernetes 1.30.0 基于Containerd 离线搭建
q1009020096的博客
04-29 3446
可以看到当前集群中已经一个节点，但是处于 NotReady状态，这是应为没有安装CNI的原因。在安装前请检查你的libseccomp版本 是否大于 2.5.0，若低于2.5.0 请升级。镜像拉取完成后生成证书和相关配置文件，之后启动control-plane。重新加载服务，设置开机启动，启动containerd服务。这个阶段启动的kubelet由于没有配置，将不断重启。再次查看节点状态时，可以发现节点状态已经变为。节点名称为当前节点的名称，注意这里是主节点。设置开机启动，并立刻启动kubelet。
Debian11之 Containerd1.7.x 安装及配置
李大能
09-25 4708
K8S发布的CRI（Container Runtime Interface）统一了容器运行时接口，凡是支持CRI的容器运行时的皆可作为K8S的底层容器运行时，而Docker Engine 没有实现 CRI，为此必须安装一个额外的服务 cri-dockerd才可以在K8S中使用，所以在K8S 1.24版本中从 kubelet 中移除了docker作为容器运行时，取而代之的是containerd容器运行时，它是从Docker中分离出来的底层容器运行时，使用起来与Docker相似。
containerd-1.7.11-linux-amd64.tar.gz
09-14
containerd-1.7.11-linux-amd64.tar.gz
超详细，简单的Containerd的安装步骤
luck099的博客
06-15 8315
Containerd，安装起来方便快捷，本身十分轻量，通过ctr客户端命令进行操作使用，且所有的容器镜像都可以使用运行，是目前推崇使用的容器管理工具。
containerd的安装和使用
soliso
11-03 6147
containerd的安装配置和使用
[k8s实战]Containerd 1.7.2 离线安装与配置全指南（二）
曼岛_的博客
04-19 1131
Containerd 1.7.2 离线安装与配置全指南（生产级优化）
containerd二进制安装
咸鱼的博客
09-10 3222
containerd 作为容器运行时，负责管理容器的生命周期和资源分配。它调用 RunC 来创建和运行容器，并通过调用 CNI 插件为容器配置网络。
01-Docker入门与核心概念
最新发布
Na2SiO3Glue的博客
08-07 624
要真正理解Docker,我们不能仅仅停留在"它是一个工具"的层面。任何一项技术的诞生都不是凭空而来的,它是对前人智慧的继承与发展,是对现实问题的回应。容器化技术同样如此——它有着超过四十年的技术积淀,经历了从chroot到LXC,再到Docker和Kubernetes的漫长演进。本章将带你穿越时光,梳理容器化技术的发展脉络,让你明白Docker为什么会出现在这个时代,以及它解决了前人没有解决好的哪些问题。软件交付方式的演进,本质上是人类对计算资源利用率和管理效率不断追求的过程。我们可以将这个过程分为三个主要
ubuntu24.04安装k8s1.33.1和containerd1.7.27和calico3.30
qq_41638904的博客
06-03 2670
从github上复制containerd下载链接 https://github.com/containerd/containerd/releases/tag/v1.7.27。官网下载https://docs.tigera.io/calico/latest/getting-started/kubernetes/quickstart。–image-repository registry.aliyuncs.com/google_containers 使用国内镜像不然国外镜像拉不下来。配置内核转发及网桥过滤。
containerd制作和构建镜像
******* ▄︻┻┳═一 *******
03-06 4588
2、生成containerd的配置文件 如果你使用 cgroup v2，则推荐 systemd cgroup 驱动。 配置 systemd cgroup 驱动。结合 runc 使用 systemd cgroup 驱动，在 /etc/containerd/config.toml 中设置 SystemdCgroup = true，设置完成后重启 containerd 服务使其生效。 3、配置加速 二、buildkit介绍 buildkit是从Docker从公司开源出来的下一代镜像构建工具，支持OCI标准的镜
安装Containerd及常用工具
想都别想的博客
09-09 355
【代码】安装Containerd及常用工具。
docker containerd 交叉编译 移植到arm64v8
时光重返七十年
07-10 3936
可以把docker移植到嵌入式的aarch64 linux系统中，比如hi3559等芯片
containerd容器安装
weixin_51115960的博客
12-30 664
本文主要是在openEuler-24.03-LTS-x86_64系统中，完成 containerd 容器运行时的全流程部署与优化，为 K8S 1.28.2 集群搭建奠定基础。
二进制 containerd 1.7.0 部署 calico 报错
以梦为马|越骑越傻
01-07 970
启动 calico 容器异常，查看 kubelet 日志，发现了下面的报错，可以看到，是缺少了。再次使用 runc 命令，就可以查看到 runc 的信息了。版本太低了，centos 7 的最新版是。之后，就可以正常安装 calico 了。尝试了 yum 安装，但是还是报错了。查看 runc 命令能不能用。
Containerd安装详细步骤
周十一的技术博客
09-13 1681
Containerd安装详细步骤
Containerd+K8s(kubeadm部署)+Rancher
拥抱开源 热爱分享
07-08 1703
为了在 Pod 中运行容器，Kubernetes 使用容器运行时（Container Runtime）。默认情况下，Kubernetes 使用容器运行时接口（Container Runtime Interface，CRI）来与你所选择的容器运行时交互。Docker Engine 没有实现CRI， 而这是容器运行时在 Kubernetes 中工作所需要的。为此，必须安装一个额外的服务。
containerd
Java资料站
05-06 1387
虽然包含runc，但是依赖系统中的seccomp(安全计算模式，是一种限制容器调用系统资源的模式，使用runC还得单独安装secomp模块，不方便)，所以runC尽量单独下载二进制包进行安装，自己下载的runC二进制包里面包含seccomp模块支持，方便使用。nerdctl-0.15.0-linux-amd64.tar.gz下载地址：https://github.com/containerd/nerdctl/releases。如果你的containerd的版本是1.5以上的，那么采用这种配置方式。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值