REX3D in der Kombination mit unserem OpenFOAM Solver arbeitet gekapselt in einer Linuxumgebung, so dass neben der erstmaligen Einrichtung für den Zugriff nichts weiter eingestellt werden muss. Die vorgefertigten Container werden von REX automatisch bereitgestellt und eingerichtet. Sie haben zwei Möglichkeiten zur Verwendung des OpenFOAM Solver:

1. Als lokalen Linux Container in einer WSL Umgebung
2. Remotezugriff auf einem Linux System

Die Einrichtung der jeweiligen Szenarien erfolgt im folgenden.

Der Podman-Remote-Client ermöglicht es, von einem separaten Windows-Client mit einem Podman-Backend auf einem Linux-Server zu kommunizieren. Das Podman-Backend stellt dabei die für REX3D beziehungsweise PSI benötigte OpenFOAM-Umgebung bereit.

Aus Sicht von REX3D oder PSI verhält sich die entfernte Podman-Installation weitgehend wie eine lokale Installation.

Die Verbindung basiert auf einem Client-Server-Modell.

Benötigt werden:

• ein Linux-Server oder eine Linux-VM,
• ein laufender SSH-Dienst auf dem Server,
• Podman auf dem Server,
• ein Windows-PC mit einer REX beziehungsweise PSI Version,
• OpenSSH und ein Podman-Client auf dem Windows-PC.

Die Anleitung geht von Ubuntu 24.04 oder einer vergleichbaren Ubuntu-Version mit systemd aus. Podman ist in den offiziellen Ubuntu-Paketquellen verfügbar.

In den folgenden Befehlen müssen diese Platzhalter ersetzt werden:

• <SERVER>: Hostname oder IP-Adresse des Servers
• <ADMIN>: administrativer Benutzer auf dem Server
• <e3d_usr>: unprivilegierter Benutzer für Podman und OpenFOAM
• <ssh_podman_e3d_usr>: Dateiname des SSH-Schlüssels

Auf dem Windows-PC in PowerShell:

ssh.exe <ADMIN>@<SERVER>

Auf dem Server:

sudo apt-get update
 
sudo apt-get install -y 
podman 
uidmap 
slirp4netns 
fuse-overlayfs 
passt 

Installation prüfen:

podman --version

Als Administrator auf dem Server:

sudo adduser \
  --disabled-password \
  --gecos "" \
  <e3d_usr>

Der Benutzer erhält kein lokales Passwort. Die Anmeldung erfolgt später ausschließlich über einen SSH-Schlüssel.

findmnt -T /home/<e3d_usr>

Ein lokales Dateisystem wie ext4, xfs oder btrfs eignet sich für den Container-Storage.

Bei einem Homeverzeichnis auf NFS sollte für den Podman-Storage ein lokaler Pfad eingerichtet werden. NFS ist als Speicherort für den Rootless-Container-Storage in der Regel nicht geeignet.

Damit die benutzerspezifischen systemd-Dienste auch ohne aktive SSH-Sitzung ausgeführt werden, muss für den Benutzer Linger aktiviert werden:

sudo loginctl enable-linger <e3d_usr>

Status prüfen:

loginctl show-user <e3d_usr> -p Linger

Erwartete Ausgabe:

Linger=yes

Auf dem Windows-PC muss der OpenSSH-Client installiert sein.

In PowerShell:

Get-Command ssh.exe
Get-Command ssh-keygen.exe
Get-Command scp.exe
 
ssh.exe -V 

Windows OpenSSH enthält unter anderem die Programme ssh, scp und ssh-keygen.

Pfad des neuen Schlüssels festlegen:

$KeyPath = "$env:USERPROFILE\.ssh\<ssh_podman_e3d_usr>"

Das Verzeichnis .ssh erstellen, falls es noch nicht vorhanden ist:

New-Item `
    -ItemType Directory `
    -Force `
    -Path "$env:USERPROFILE\.ssh" |
    Out-Null

Prüfen, ob unter dem gewählten Namen bereits ein Schlüssel vorhanden ist:

Test-Path $KeyPath
Test-Path "$KeyPath.pub"

Beide Befehle sollten False zurückgeben.

Falls bereits Dateien vorhanden sind, darf der folgende Befehl erst ausgeführt werden, nachdem geprüft wurde, ob diese Schlüssel noch benötigt werden.

SSH-Schlüssel erzeugen:

ssh-keygen.exe `
    -t ed25519 `
    -a 100 `
    -f $KeyPath `
    -C "<e3d_usr>@<SERVER>"

Dabei entstehen zwei Dateien:

<ssh_podman_e3d_usr>       Privater Schlüssel
<ssh_podman_e3d_usr>.pub   Öffentlicher Schlüssel

Der private Schlüssel darf den Windows-PC, auf dem REX3D beziehungsweise PSI installiert ist, nicht verlassen.

In PowerShell:

scp.exe `
    "$KeyPath.pub" `
    "<ADMIN>@<SERVER>:/tmp/<e3d_usr>.pub"

Anschließend als Administrator am Server anmelden:

ssh.exe <ADMIN>@<SERVER>

Auf dem Server zunächst das SSH-Verzeichnis erstellen:

sudo install \
  -d \
  -m 700 \
  -o <e3d_usr> \
  -g <e3d_usr> \
  /home/<e3d_usr>/.ssh

Den öffentlichen Schlüssel als authorized_keys installieren:

sudo install \
  -m 600 \
  -o <e3d_usr> \
  -g <e3d_usr> \
  /tmp/<e3d_usr>.pub \
  /home/<e3d_usr>/.ssh/authorized_keys

Die temporäre Datei löschen:

sudo rm -f /tmp/<e3d_usr>.pub

Berechtigungen prüfen:

sudo ls -ld /home/<e3d_usr>/.ssh
sudo ls -l /home/<e3d_usr>/.ssh/authorized_keys

Auf dem Windows-PC:

ssh.exe `
    -i "$env:USERPROFILE\.ssh\<ssh_podman_e3d_usr>" `
    <e3d_usr>@<SERVER>

Nach der Anmeldung auf dem Server prüfen:

whoami
id
pwd

Erwartet werden unter anderem:

<e3d_usr>
/home/<e3d_usr>

Die Ausgabe von id muss die Benutzer- und Gruppeninformationen des Benutzers <e3d_usr> anzeigen.

Optional kann die SSH-Verbindung direkt vom Windows-PC aus geprüft werden:

ssh.exe `
    -i "$env:USERPROFILE\.ssh\<ssh_podman_e3d_usr>" `
    <e3d_usr>@<SERVER> `
    "whoami; podman --version"

Als <e3d_usr> auf dem Server:

podman info

Der Befehl muss ohne sudo ausgeführt werden.

Als <e3d_usr> auf dem Server:

systemctl --user enable --now podman.socket

Status prüfen:

systemctl --user status podman.socket --no-pager

echo "$XDG_RUNTIME_DIR/podman/podman.sock"
ls -l "$XDG_RUNTIME_DIR/podman/podman.sock"

Der Rootless-Podman-Socket liegt standardmäßig unter:

/run/user/<UID>/podman/podman.sock

Die numerische UID des Benutzers kann mit folgendem Befehl ermittelt werden:

id -u

Podman verwendet für den API-Socket die systemd-Socket-Aktivierung. Zusammen mit loginctl enable-linger bleibt der Socket auch ohne aktive SSH-Anmeldung verfügbar.

Auf dem Windows-PC muss ein Podman-Client installiert sein.

In PowerShell:

podman.exe system connection add `
    rex3d-openfoam `
    --identity "$env:USERPROFILE\.ssh\<ssh_podman_e3d_usr>" `
    "ssh://<e3d_usr>@<SERVER>/run/user/<UID>/podman/podman.sock"

Dabei ist <UID> durch die numerische UID des Benutzers <e3d_usr> zu ersetzen.

Beispiel:

ssh://e3d@openfoam-server.example.org/run/user/1001/podman/podman.sock

podman.exe system connection list

Die neue Verbindung sollte in der Liste erscheinen.

podman.exe `
    --connection rex3d-openfoam `
    info

Optional kann zusätzlich ein Testcontainer ausgeführt werden:

podman.exe `
    --connection rex3d-openfoam `
    run `
    --rm `
    docker.io/library/alpine:latest `
    uname -a

Der Container wird auf dem Linux-Server und nicht auf dem Windows-PC ausgeführt.

In den REX3D-Optionen muss der Name der zuvor angelegten Podman-Verbindung eingetragen werden.

Bei Verwendung der Befehle aus dieser Anleitung lautet der Verbindungsname:

rex3d-openfoam

Die verfügbaren Verbindungen können jederzeit mit folgendem Befehl angezeigt werden:

podman.exe system connection list

Der Podman-API-Socket erlaubt die vollständige Verwaltung aller Container, Images, Volumes und Pods des Benutzers <e3d_usr>.

Der Socket darf daher nicht über einen ungeschützten TCP-Port veröffentlicht werden. Der Zugriff über SSH auf den benutzereigenen Unix-Socket ist die bevorzugte Variante.

Der Benutzer <e3d_usr> sollte:

• keine sudo-Rechte besitzen,
• nicht Mitglied privilegierter Gruppen sein,
• nur auf die benötigten Dateien und Verzeichnisse zugreifen können,
• ausschließlich für REX3D, PSI und die zugehörigen OpenFOAM-Container verwendet werden,
• einen eigenen SSH-Schlüssel verwenden,
• keine privaten Schlüssel anderer Benutzer erhalten.

Der private SSH-Schlüssel auf dem Windows-PC sollte:

• nur für diesen Verwendungszweck eingesetzt werden,
• nicht per E-Mail oder über gemeinsame Netzlaufwerke verteilt werden,
• durch geeignete Dateiberechtigungen geschützt werden,
• bei Verlust oder bei einem Gerätewechsel aus authorized_keys entfernt werden.