tools/compute-images/scripts/base.sh

   1 #!/bin/bash -euxo pipefail
   2
   3 # Copyright (C) The Arvados Authors. All rights reserved.
   4 #
   5 # SPDX-License-Identifier: Apache-2.0
   6
   7 set -eu -o pipefail
   8
   9 SUDO=sudo
  10
  11 wait_for_apt_locks() {
  12   while $SUDO fuser /var/{lib/{dpkg,apt/lists},cache/apt/archives}/lock >/dev/null 2>&1; do
  13     echo "APT: Waiting for apt/dpkg locks to be released..."
  14     sleep 1
  15   done
  16 }
  17
  18 . /etc/os-release
  19 DISTRO_ID="$ID"
  20
  21 # Run apt-get update
  22 $SUDO DEBIAN_FRONTEND=noninteractive apt-get --yes update
  23
  24 # Install gnupg and dirmgr or gpg key checks will fail
  25 wait_for_apt_locks && $SUDO DEBIAN_FRONTEND=noninteractive apt-get -qq --yes install \
  26   gnupg \
  27   dirmngr \
  28   lsb-release
  29
  30 # For good measure, apt-get upgrade
  31 wait_for_apt_locks && $SUDO DEBIAN_FRONTEND=noninteractive apt-get -qq --yes upgrade
  32
  33 # Make sure cloud-init is installed
  34 wait_for_apt_locks && $SUDO DEBIAN_FRONTEND=noninteractive apt-get -qq --yes install cloud-init
  35 if [[ ! -d /var/lib/cloud/scripts/per-boot ]]; then
  36   mkdir -p /var/lib/cloud/scripts/per-boot
  37 fi
  38
  39 SET_RESOLVER=
  40 if [ -n "$RESOLVER" ]; then
  41   SET_RESOLVER="--dns ${RESOLVER}"
  42 fi
  43
  44 echo "Working directory is '${WORKDIR}'"
  45
  46 # Add the arvados apt repository
  47 echo "# apt.arvados.org" |$SUDO tee --append /etc/apt/sources.list.d/apt.arvados.org.list
  48 echo "deb http://apt.arvados.org/$VERSION_CODENAME $VERSION_CODENAME${REPOSUFFIX} main" |$SUDO tee --append /etc/apt/sources.list.d/apt.arvados.org.list
  49
  50 # Add the arvados signing key
  51 cat ${WORKDIR}/1078ECD7.asc | $SUDO apt-key add -
  52 # Add the debian keys (but don't abort if we can't find them, e.g. on Ubuntu where we don't need them)
  53 wait_for_apt_locks && $SUDO DEBIAN_FRONTEND=noninteractive apt-get install --yes debian-keyring debian-archive-keyring 2>/dev/null || true
  54
  55 # Fix locale
  56 $SUDO /bin/sed -ri 's/# en_US.UTF-8 UTF-8/en_US.UTF-8 UTF-8/' /etc/locale.gen
  57 $SUDO /usr/sbin/locale-gen
  58
  59 if [[ "${PIN_PACKAGES:-true}" != false ]]; then
  60     $SUDO install -d /etc/apt/preferences.d
  61     $SUDO install -m 0644 \
  62           "$WORKDIR/etc-apt-preferences.d-arvados.pref" \
  63           /etc/apt/preferences.d/arvados.pref
  64 fi
  65
  66 # Install some packages we always need
  67 wait_for_apt_locks && $SUDO DEBIAN_FRONTEND=noninteractive apt-get --yes update
  68 wait_for_apt_locks && $SUDO DEBIAN_FRONTEND=noninteractive apt-get -qq --yes install \
  69   openssh-server \
  70   apt-utils \
  71   git \
  72   curl \
  73   libcurl3-gnutls \
  74   libcurl4-openssl-dev \
  75   lvm2 \
  76   cryptsetup \
  77   xfsprogs
  78
  79 # Install the Arvados packages we need
  80 wait_for_apt_locks && $SUDO DEBIAN_FRONTEND=noninteractive apt-get -qq --yes install \
  81   python3-arvados-fuse \
  82   arvados-docker-cleaner
  83
  84 DOCKER_URL="https://download.docker.com/linux/$DISTRO_ID"
  85 curl -fsSL "$DOCKER_URL/gpg" | $SUDO gpg --dearmor -o /usr/share/keyrings/docker-archive-keyring.gpg
  86 echo "deb [arch=amd64 signed-by=/usr/share/keyrings/docker-archive-keyring.gpg] $DOCKER_URL/ $VERSION_CODENAME stable" | \
  87     $SUDO tee /etc/apt/sources.list.d/docker.list
  88 $SUDO apt-get update
  89 $SUDO apt-get -yq --no-install-recommends install docker-ce
  90
  91 # Set a higher ulimit and the resolver (if set) for docker
  92 $SUDO sed "s/ExecStart=\(.*\)/ExecStart=\1 --default-ulimit nofile=10000:10000 ${SET_RESOLVER}/g" \
  93   /lib/systemd/system/docker.service \
  94   > /etc/systemd/system/docker.service
  95
  96 $SUDO systemctl daemon-reload
  97
  98 # docker should not start on boot: we restart it inside /usr/local/bin/ensure-encrypted-partitions.sh,
  99 # and the BootProbeCommand might be "docker ps -q"
 100 $SUDO systemctl disable docker
 101
 102 # Remove unattended-upgrades if it is installed
 103 wait_for_apt_locks && $SUDO DEBIAN_FRONTEND=noninteractive apt-get -qq --yes remove unattended-upgrades --purge
 104
 105 # Configure arvados-docker-cleaner
 106 $SUDO mkdir -p /etc/arvados/docker-cleaner
 107 $SUDO echo -e "{\n  \"Quota\": \"10G\",\n  \"RemoveStoppedContainers\": \"always\"\n}" > /etc/arvados/docker-cleaner/docker-cleaner.json
 108
 109 # Enable cgroup accounting (forcing cgroups v1)
 110 $SUDO echo 'GRUB_CMDLINE_LINUX="$GRUB_CMDLINE_LINUX cgroup_enable=memory swapaccount=1 systemd.unified_cgroup_hierarchy=0"' >> /etc/default/grub
 111 $SUDO update-grub
 112
 113 # Make sure user_allow_other is set in fuse.conf
 114 $SUDO sed -i 's/#user_allow_other/user_allow_other/g' /etc/fuse.conf
 115
 116 # Add crunch user with sudo powers
 117 $SUDO adduser --disabled-password --gecos "Crunch user,,,," crunch
 118 # Do not require a password to sudo
 119 echo -e "# for the crunch user\ncrunch ALL=(ALL) NOPASSWD:ALL" | $SUDO tee /etc/sudoers.d/91-crunch
 120
 121 # Set up the ssh public key for the crunch user
 122 $SUDO mkdir /home/crunch/.ssh
 123 $SUDO mv ${WORKDIR}/crunch-authorized_keys /home/crunch/.ssh/authorized_keys
 124 $SUDO chown -R crunch:crunch /home/crunch/.ssh
 125 $SUDO chmod 600 /home/crunch/.ssh/authorized_keys
 126 $SUDO chmod 700 /home/crunch/.ssh/
 127
 128 # Make sure we resolve via the provided resolver IP if set. Prepending is good enough because
 129 # unless 'rotate' is set, the nameservers are queried in order (cf. man resolv.conf)
 130 if [ "x$RESOLVER" != "x" ]; then
 131   $SUDO sed -i "s/#prepend domain-name-servers 127.0.0.1;/prepend domain-name-servers ${RESOLVER};/" /etc/dhcp/dhclient.conf
 132 fi
 133
 134 # AWS_EBS_AUTOSCALE is not always set, work around unset variable check
 135 EBS_AUTOSCALE=${AWS_EBS_AUTOSCALE:-}
 136
 137 if [ "$EBS_AUTOSCALE" != "1" ]; then
 138   # Set up the cloud-init script that will ensure encrypted disks
 139   $SUDO mv ${WORKDIR}/usr-local-bin-ensure-encrypted-partitions.sh /usr/local/bin/ensure-encrypted-partitions.sh
 140 else
 141   wait_for_apt_locks && $SUDO DEBIAN_FRONTEND=noninteractive apt-get -qq --yes install jq unzip
 142
 143   curl -s "https://awscli.amazonaws.com/awscli-exe-linux-x86_64.zip" -o "${WORKDIR}/awscliv2.zip"
 144   unzip -q ${WORKDIR}/awscliv2.zip -d ${WORKDIR} && $SUDO ${WORKDIR}/aws/install
 145   # Pinned to v2.4.5 because we apply a patch below
 146   #export EBS_AUTOSCALE_VERSION=$(curl --silent "https://api.github.com/repos/awslabs/amazon-ebs-autoscale/releases/latest" | jq -r .tag_name)
 147   export EBS_AUTOSCALE_VERSION="ee323f0751c2b6f733692e805b51b9bf3c251bac"
 148   cd /opt && $SUDO git clone https://github.com/arvados/amazon-ebs-autoscale.git
 149   cd /opt/amazon-ebs-autoscale && $SUDO git checkout $EBS_AUTOSCALE_VERSION
 150
 151   # Set up the cloud-init script that makes use of the AWS EBS autoscaler
 152   $SUDO mv ${WORKDIR}/usr-local-bin-ensure-encrypted-partitions-aws-ebs-autoscale.sh /usr/local/bin/ensure-encrypted-partitions.sh
 153 fi
 154
 155 $SUDO chmod 755 /usr/local/bin/ensure-encrypted-partitions.sh
 156 $SUDO chown root:root /usr/local/bin/ensure-encrypted-partitions.sh
 157 $SUDO mv ${WORKDIR}/etc-cloud-cloud.cfg.d-07_compute_arvados_dispatch_cloud.cfg /etc/cloud/cloud.cfg.d/07_compute_arvados_dispatch_cloud.cfg
 158 $SUDO chown root:root /etc/cloud/cloud.cfg.d/07_compute_arvados_dispatch_cloud.cfg
 159
 160 if [ "$NVIDIA_GPU_SUPPORT" == "1" ]; then
 161   # We need a kernel and matching headers
 162   if [[ "$DISTRO_ID" == debian ]]; then
 163     $SUDO apt-get -y install linux-image-cloud-amd64 linux-headers-cloud-amd64
 164   elif [ "$CLOUD" == "azure" ]; then
 165     $SUDO apt-get -y install linux-image-azure linux-headers-azure
 166   elif [ "$CLOUD" == "aws" ]; then
 167     $SUDO apt-get -y install linux-image-aws linux-headers-aws
 168   fi
 169
 170   # Install CUDA
 171   NVIDIA_URL="https://developer.download.nvidia.com/compute/cuda/repos/$(echo "$DISTRO_ID$VERSION_ID" | tr -d .)/x86_64"
 172   $SUDO apt-key adv --fetch-keys "$NVIDIA_URL/7fa2af80.pub"
 173   $SUDO apt-key adv --fetch-keys "$NVIDIA_URL/3bf863cc.pub"
 174   $SUDO apt-get -y install software-properties-common
 175   $SUDO add-apt-repository "deb $NVIDIA_URL/ /"
 176   $SUDO add-apt-repository contrib
 177   $SUDO apt-get update
 178   $SUDO apt-get -y install cuda
 179
 180   # Install libnvidia-container, the tooling for Docker/Singularity
 181   curl -s -L https://nvidia.github.io/libnvidia-container/gpgkey | \
 182     $SUDO apt-key add -
 183   curl -fsSL "https://nvidia.github.io/libnvidia-container/stable/deb/nvidia-container-toolkit.list" |
 184     $SUDO tee /etc/apt/sources.list.d/nvidia-container-toolkit.list >/dev/null
 185
 186   $SUDO apt-get update
 187   $SUDO apt-get -y install libnvidia-container1 libnvidia-container-tools nvidia-container-toolkit
 188
 189   # Various components fail to start, and cause systemd to boot in degraded
 190   # state, if the system does not actually have an NVIDIA GPU. Configure the
 191   # image to adapt at boot time.
 192
 193   # Don't load modules unconditionally.
 194   # Instead load them if hardware is detected.
 195   if [[ -f /etc/modules-load.d/nvidia.conf ]]; then
 196       $SUDO mv /etc/modules-load.d/nvidia.conf /etc/modules-load.d/nvidia.avail
 197   fi
 198   $SUDO install "$WORKDIR/usr-local-bin-detect-gpu.sh" /usr/local/bin/detect-gpu.sh
 199   $SUDO install -d /etc/systemd/system/systemd-modules-load.service.d
 200   $SUDO install -m 0644 \
 201         "$WORKDIR/etc-systemd-system-systemd-modules-load.service.d-detect-gpu.conf" \
 202         /etc/systemd/system/systemd-modules-load.service.d/detect-gpu.conf
 203
 204   # Don't start the persistence daemon.
 205   # Instead rely on crunch-run's CUDA initialization.
 206   $SUDO systemctl disable nvidia-persistenced.service
 207 fi
 208
 209 # Get Go and build singularity
 210 mkdir -p /var/lib/arvados
 211 rm -rf /var/lib/arvados/go/
 212 curl -s https://storage.googleapis.com/golang/go${GOVERSION}.linux-amd64.tar.gz | tar -C /var/lib/arvados -xzf -
 213 ln -sf /var/lib/arvados/go/bin/* /usr/local/bin/
 214
 215 singularityversion=3.10.4
 216 cd /var/lib/arvados
 217 git clone --recurse-submodules https://github.com/sylabs/singularity
 218 cd singularity
 219 git checkout v${singularityversion}
 220
 221 # build dependencies for singularity
 222 wait_for_apt_locks && $SUDO DEBIAN_FRONTEND=noninteractive apt-get -qq --yes install \
 223                             make build-essential libssl-dev uuid-dev cryptsetup \
 224                             squashfs-tools libglib2.0-dev libseccomp-dev
 225
 226
 227 echo $singularityversion > VERSION
 228 ./mconfig --prefix=/var/lib/arvados
 229 make -C ./builddir
 230 make -C ./builddir install
 231 ln -sf /var/lib/arvados/bin/* /usr/local/bin/
 232
 233 # set `mksquashfs mem` in the singularity config file if it is configured
 234 if [ "$MKSQUASHFS_MEM" != "" ]; then
 235   echo "mksquashfs mem = ${MKSQUASHFS_MEM}" >> /var/lib/arvados/etc/singularity/singularity.conf
 236 fi
 237
 238 # Print singularity version installed
 239 singularity --version
 240
 241 $SUDO apt-get clean