# 실습 디렉토리 준비
mkdir -p /tmp/docker/part5/exam_20 && cd /tmp/docker/part5/exam_20

# 기본 형식
docker exec [옵션] <컨테이너명 또는 ID> <명령어> [인수...]

# -i: stdin 연결 (interactive)
# -t: pseudo-TTY 할당 (터미널 에뮬레이션)
# -e: 환경 변수 설정
# -u: 실행할 사용자 지정
# -w: 작업 디렉토리 지정

# bash가 있는 컨테이너 (Ubuntu, Debian 기반)
docker exec -it debug-nginx bash

# sh만 있는 컨테이너 (Alpine 기반)
docker exec -it debug-nginx sh

# 컨테이너 내부에 진입하면:
# / # (Alpine) 또는 root@<id>:~# (Debian) 프롬프트 표시

# 나가기
exit  # 또는 Ctrl+D

# 컨테이너 내부에서 파일 확인
docker exec debug-nginx cat /etc/nginx/nginx.conf

# 환경 변수 확인
docker exec debug-nginx env

# 프로세스 목록 확인 (ps가 있는 경우)
docker exec debug-nginx ps aux

# 네트워크 상태 확인
docker exec debug-nginx netstat -tlnp 2>/dev/null || \
  docker exec debug-nginx ss -tlnp

# 파일시스템 사용량
docker exec debug-nginx df -h

# 특정 포트 리스닝 여부 확인
docker exec debug-nginx wget -qO- http://localhost:80 | head -20

# root 권한으로 실행 (앱이 비root 사용자로 실행 중이어도 진입 가능)
docker exec -u root -it myapp bash

# 특정 사용자 ID로 실행
docker exec -u 1000:1000 myapp id
# uid=1000(appuser) gid=1000(appuser) groups=1000(appuser)

# 실행 중인 앱과 동일한 사용자로 실행 (권한 문제 재현 시)
APP_UID=$(docker exec myapp id -u)
docker exec -u $APP_UID myapp ls -la /app

# 작업 디렉토리를 지정하여 상대 경로 명령 실행
docker exec -w /app myapp ls -la

# 앱 설정 파일 내용 확인
docker exec -w /etc/nginx debug-nginx cat nginx.conf

# 컨테이너 내부에서 네트워크 도구 임시 설치
docker exec -it debug-nginx sh -c "apk add --no-cache curl && curl -sv http://localhost"

# Debian 계열에서
docker exec -it debug-python bash -c "apt-get install -y -q strace && strace python app.py"

# 전체 JSON 출력 (약 150줄 이상)
docker inspect debug-nginx

# 출력 구조:
# [
#   {
#     "Id": "...",
#     "State": { "Status": "running", "Pid": 1234, ... },
#     "NetworkSettings": { "IPAddress": "172.17.0.2", ... },
#     "HostConfig": { "Memory": 0, "CpuShares": 0, ... },
#     "Mounts": [...],
#     "Config": { "Env": [...], "Cmd": [...], ... },
#     ...
#   }
# ]

# IP 주소 추출 (브릿지 네트워크)
docker inspect --format '{{.NetworkSettings.IPAddress}}' debug-nginx
# 172.17.0.2

# 컨테이너 상태 확인
docker inspect --format '{{.State.Status}}' debug-nginx
# running

# PID 추출 (nsenter에 활용)
docker inspect --format '{{.State.Pid}}' debug-nginx
# 12345

# 마운트된 볼륨 목록
docker inspect --format '{{range .Mounts}}{{.Source}} -> {{.Destination}}{{"\n"}}{{end}}' debug-nginx
# /var/lib/docker/volumes/nginx-data/_data -> /var/cache/nginx

# 환경 변수 목록
docker inspect --format '{{range .Config.Env}}{{.}}{{"\n"}}{{end}}' debug-nginx
# PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin
# NGINX_VERSION=1.25.3
# ...

# 메모리 제한 확인 (0이면 제한 없음)
docker inspect --format '{{.HostConfig.Memory}}' debug-nginx
# 0

# OOMKilled 여부 확인 (장애 진단)
docker inspect --format '{{.State.OOMKilled}}' <crashed-container>
# true  ← 메모리 부족으로 종료됨

# 재시작 횟수 확인
docker inspect --format '{{.RestartCount}}' myapp
# 7  ← 7번 재시작됨 (문제 징후)

# 종료 코드 확인
docker inspect --format '{{.State.ExitCode}}' myapp
# 137  ← SIGKILL (OOMKilled)

# 여러 필드를 한 번에 출력
docker inspect --format \
  'ID: {{.Id}}
Status: {{.State.Status}}
Started: {{.State.StartedAt}}
IP: {{.NetworkSettings.IPAddress}}
OOMKilled: {{.State.OOMKilled}}
ExitCode: {{.State.ExitCode}}' myapp

# 사용자 정의 네트워크의 IP 추출 (브릿지 네트워크가 아닌 경우)
docker inspect --format \
  '{{range $net, $cfg := .NetworkSettings.Networks}}{{$net}}: {{$cfg.IPAddress}}{{"\n"}}{{end}}' \
  debug-nginx
# bridge: 172.17.0.2

# JSON 출력을 jq로 처리 (더 복잡한 쿼리)
docker inspect debug-nginx | jq '.[0].State'
docker inspect debug-nginx | jq '.[0].NetworkSettings.Networks'

# 모든 실행 중인 컨테이너의 이름과 IP 일괄 출력
docker ps -q | xargs docker inspect --format \
  '{{.Name}} — {{.NetworkSettings.IPAddress}}'
# /debug-nginx — 172.17.0.2
# /debug-python — 172.17.0.3

# 메모리 제한이 없는 컨테이너 찾기 (보안/안정성 감사)
docker ps -q | xargs docker inspect --format \
  '{{if eq .HostConfig.Memory 0}}{{.Name}}: 메모리 제한 없음{{end}}'

# 모든 실행 중인 컨테이너의 리소스 사용량 실시간 모니터링 (htop처럼 갱신)
docker stats

# 출력 예시:
# CONTAINER ID   NAME           CPU %   MEM USAGE / LIMIT   MEM %   NET I/O         BLOCK I/O   PIDS
# a1b2c3d4e5f6   debug-nginx    0.00%   3.281MiB / 7.77GiB  0.04%   656B / 0B       0B / 0B     2
# f9e8d7c6b5a4   debug-python   0.00%   12.45MiB / 7.77GiB  0.16%   876B / 0B       0B / 0B     1

# 특정 컨테이너만 모니터링
docker stats debug-nginx debug-python

# 한 번만 스냅샷 출력 (스크립트에 활용)
docker stats --no-stream

# 커스텀 포맷 출력
docker stats --no-stream --format \
  "table {{.Name}}\t{{.CPUPerc}}\t{{.MemUsage}}\t{{.MemPerc}}"
# NAME           CPU %   MEM USAGE / LIMIT   MEM %
# debug-nginx    0.00%   3.281MiB / 7.77GiB  0.04%

CPU %        — CPU 사용률 (호스트 전체 대비 %)
MEM USAGE    — 현재 메모리 사용량 / --memory 제한값
MEM %        — 메모리 사용률 (제한 대비)
NET I/O      — 네트워크 수신 / 송신 누적 바이트
BLOCK I/O    — 디스크 읽기 / 쓰기 누적 바이트
PIDS         — 컨테이너 내 프로세스/스레드 수

# 컨테이너 내 프로세스 목록 (ps 형식)
docker top debug-nginx
# UID     PID    PPID   C   STIME   TTY   TIME       CMD
# root    12345  12300  0   09:00   ?     00:00:00   nginx: master process nginx -g daemon off;
# 101     12346  12345  0   09:00   ?     00:00:00   nginx: worker process
# 101     12347  12345  0   09:00   ?     00:00:00   nginx: worker process

# ps 옵션 전달 가능
docker top debug-nginx aux

# 특정 프로세스가 실행 중인지 확인
docker top myapp | grep "python\|node\|java"

# 좀비 프로세스 확인 (STAT에 Z가 있는 것)
docker top myapp aux | awk '$8 ~ /Z/ {print "좀비 프로세스:", $0}'

# /proc/meminfo로 컨테이너 내 메모리 세부 정보
docker exec myapp cat /proc/meminfo

# cgroup 메모리 통계 직접 확인 (호스트에서)
PID=$(docker inspect --format '{{.State.Pid}}' myapp)
cat /sys/fs/cgroup/memory/docker/$(docker inspect --format '{{.Id}}' myapp)/memory.usage_in_bytes
cat /sys/fs/cgroup/memory/docker/$(docker inspect --format '{{.Id}}' myapp)/memory.stat

# distroless 컨테이너에 exec 시도
docker exec -it distroless-app sh
# OCI runtime exec failed: exec failed: unable to start container process:
# exec: "sh": executable file not found in $PATH: unknown

docker exec -it distroless-app bash
# OCI runtime exec failed: exec failed: unable to start container process:
# exec: "bash": executable file not found in $PATH: unknown

Linux 네임스페이스 종류:
  mnt  — 파일시스템 마운트 네임스페이스
  pid  — 프로세스 ID 네임스페이스
  net  — 네트워크 인터페이스/라우팅 네임스페이스
  ipc  — IPC(공유 메모리, 세마포어) 네임스페이스
  uts  — 호스트명/도메인명 네임스페이스
  user — 사용자/그룹 ID 네임스페이스

nsenter --target <PID> --net --pid --mnt
       ↑ 대상 프로세스의 네임스페이스로 진입
       실행할 명령은 호스트의 파일시스템에서 가져옴 (컨테이너에 없어도 됨)

# 1단계: 컨테이너의 호스트 PID 확인
PID=$(docker inspect --format '{{.State.Pid}}' distroless-app)
echo "컨테이너 PID: $PID"
# 컨테이너 PID: 23456

# 2단계: 네트워크 네임스페이스 진입 (네트워크만)
sudo nsenter --target $PID --net -- ip addr
# 1: lo: <LOOPBACK,UP,LOWER_UP>
#     inet 127.0.0.1/8 scope host lo
# 2: eth0@if45: <BROADCAST,MULTICAST,UP,LOWER_UP>
#     inet 172.17.0.5/16 brd 172.17.255.255 scope global eth0

# 3단계: 모든 네임스페이스에 진입 (완전한 컨테이너 뷰)
sudo nsenter --target $PID --mount --uts --ipc --net --pid -- bash
# 이제 distroless 컨테이너의 파일시스템, 네트워크, 프로세스가 보임
# bash는 호스트의 bash를 사용하므로 컨테이너에 없어도 됨

# 4단계: 컨테이너 파일시스템 탐색
sudo nsenter --target $PID --mount -- ls /
sudo nsenter --target $PID --mount -- cat /app/config.json
sudo nsenter --target $PID --mount -- find /app -name "*.log"

PID=$(docker inspect --format '{{.State.Pid}}' myapp)

# 컨테이너 네트워크 네임스페이스에서 ss 실행
sudo nsenter --target $PID --net -- ss -tlnp
# Netid  State   Recv-Q Send-Q  Local Address:Port  Peer Address:Port
# tcp    LISTEN  0      128     0.0.0.0:8080        0.0.0.0:*

# 컨테이너의 라우팅 테이블 확인
sudo nsenter --target $PID --net -- ip route
# default via 172.17.0.1 dev eth0
# 172.17.0.0/16 dev eth0 proto kernel scope link src 172.17.0.5

# 컨테이너 내 DNS 설정
sudo nsenter --target $PID --mount -- cat /etc/resolv.conf

# 외부 연결 확인 (호스트의 curl 사용)
sudo nsenter --target $PID --net -- curl -sv https://api.example.com/health

PID=$(docker inspect --format '{{.State.Pid}}' myapp)

# 컨테이너 메인 프로세스의 시스템 콜 추적
sudo strace -p $PID -f -e trace=network,file 2>&1 | head -50

# 출력 예시:
# [pid 23456] openat(AT_FDCWD, "/app/config.json", O_RDONLY) = 3
# [pid 23456] read(3, '{"database": "postgres://..."}', 4096) = 98
# [pid 23456] socket(AF_INET, SOCK_STREAM, IPPROTO_TCP) = 4
# [pid 23456] connect(4, {sa_family=AF_INET, sin_port=htons(5432), ...}) = -1 ECONNREFUSED

# ECONNREFUSED: 데이터베이스 연결 실패 → 연결 설정 문제임을 확인

# 파일 접근만 추적 (권한 문제 진단)
sudo strace -p $PID -f -e trace=open,openat,read,write 2>&1 | grep -i "denied\|EPERM\|EACCES"

# 컨테이너 → 호스트로 파일 복사 (실행 중이거나 중지된 컨테이너 모두 가능)
docker cp debug-nginx:/etc/nginx/nginx.conf ./nginx.conf.bak
docker cp debug-nginx:/var/log/nginx/error.log ./error.log

# 호스트 → 컨테이너로 파일 복사 (임시 설정 변경 시)
docker cp ./nginx-debug.conf debug-nginx:/etc/nginx/conf.d/debug.conf

# 디렉토리 전체 복사
docker cp debug-nginx:/etc/nginx ./nginx-config-backup/

# 크래시된 컨테이너(Exited 상태)에서도 파일 추출 가능
docker ps -a | grep myapp
# abc123  myapp  "..."  5 min ago  Exited (137)
docker cp abc123:/app/heap-dump.hprof ./heap-dump.hprof

# 1. 현재 nginx 설정 파일 추출
docker cp debug-nginx:/etc/nginx/nginx.conf ./nginx.conf

# 2. 로컬에서 디버그 설정 수정 (로그 레벨 변경 등)
sed -i 's/error_log .*/error_log \/var\/log\/nginx\/debug.log debug;/' ./nginx.conf

# 3. 수정된 설정 파일을 컨테이너에 다시 주입
docker cp ./nginx.conf debug-nginx:/etc/nginx/nginx.conf

# 4. nginx 설정 리로드 (컨테이너 재시작 없이)
docker exec debug-nginx nginx -s reload

# 문제가 있는 프로덕션 컨테이너 (distroless, 수정 불가)
docker run -d --name prod-app \
  --network my-network \
  --volume app-data:/data \
  myapp:distroless

# 디버그 사이드카: 같은 네트워크와 볼륨 공유, 풍부한 도구 포함
docker run -it --rm \
  --network container:prod-app \
  --volumes-from prod-app \
  --pid container:prod-app \
  ubuntu:22.04 bash

# 사이드카 컨테이너 내부에서:
# - prod-app과 같은 네트워크 인터페이스 공유 (localhost로 앱에 접근)
# - prod-app의 볼륨 데이터에 접근
# - prod-app의 프로세스를 pid 네임스페이스에서 확인

# 사이드카에서 네트워크 진단
apt-get install -y curl netcat-openbsd nmap
curl -v http://localhost:8080/health
nc -zv localhost 5432

# 사이드카에서 공유 볼륨 파일 확인
ls -la /data
cat /data/app.log

# tcpdump가 있는 사이드카로 컨테이너 네트워크 트래픽 캡처
docker run -it --rm \
  --network container:debug-nginx \
  --cap-add NET_ADMIN \
  nicolaka/netshoot tcpdump -i eth0 -w /tmp/capture.pcap port 80

# 캡처 파일을 호스트로 복사해서 Wireshark로 분석
NETSHOOT_ID=$(docker ps -q -f name=netshoot)
docker cp $NETSHOOT_ID:/tmp/capture.pcap ./nginx-traffic.pcap

# nicolaka/netshoot: 네트워크 디버깅 도구가 모두 포함된 전용 이미지
# (tcpdump, curl, dig, nmap, iperf3, netstat, ss 등)