Исследование рантаймов контейнеров Docker, containerd и rkt

FROM ubuntu:20.04
WORKDIR /app
COPY . /app
RUN apt-get update && apt-get install -y python3 python3-pip
RUN pip3 install -r requirements.txt
EXPOSE 8000
CMD ["python3", "app.py"]

# Создание пользовательской сети
docker network create --driver overlay --attachable my_network
 
# Подключение контейнера к сети
docker run --network=my_network -d my_app

# Ограничение использования памяти и CPU
docker run -d --memory="2g" --cpus="1.5" nginx

# Жёсткое ограничение в 512MB памяти с запретом использования swap
docker run --memory=512m --memory-swap=512m redis
 
# Выделение 30% процессорного времени и максимум 80% одного ядра
docker run --cpu-shares=307 --cpu-period=100000 --cpu-quota=80000 nginx

# Запуск с ограниченными возможностями и правами непривилегированного пользователя
docker run --cap-drop=ALL --cap-add=NET_BIND_SERVICE --user=1000:1000 my_app

# Базовая работа с containerd через CLI-клиент ctr
ctr images pull docker.io/library/alpine:latest
ctr run --rm docker.io/library/alpine:latest test echo "Hello from containerd!"

# Создание и запуск контейнера с namepace и ограничениями
ctr run --rm --memory-limit 100M --cpu-shares 512 \
  --mount type=bind,src=/host/path,dst=/container/path,options=rbind:ro \
  docker.io/library/redis:alpine redis-test

# Создание контейнера без его запуска
ctr container create docker.io/library/nginx:latest web-server

# Запуск созданного контейнера
ctr task start web-server

# Запуск контейнера в rkt
rkt run docker://nginx --port=http:80 --insecure-options=image

# Запуск контейнера с ограничениями по изоляции
rkt run --insecure-options=image --net=host --dns=8.8.8.8 docker://alpine --exec=/bin/sh

# Создание пода с несколькими контейнерами, имеющими общее сетевое пространство
rkt run --pod=my-pod docker://backend:latest --name=api \
  docker://redis:latest --name=cache

# Добавление доверенного GPG ключа
rkt trust --prefix=coreos.com/etcd
 
# Запуск контейнера с обязательной верификацией
rkt run coreos.com/etcd:v3.1.0

# Примером systemd-юнита для rkt может служить:
[Unit]
Description=MyApp Container
After=network.target
 
[Service]
ExecStart=/usr/bin/rkt run --insecure-options=image docker://myapp:latest
KillMode=mixed
Restart=always
 
[Install]
WantedBy=multi-user.target

# Бенчмарк запуска 100 контейнеров в Docker
time for i in {1..100}; do 
  docker run --rm alpine echo "hello world" >/dev/null
done

# Пример скрипта для замера времени старта контейнера
#!/bin/bash
for runtime in docker containerd rkt; do
  echo "Testing $runtime..."
  start=$(date +%s%N)
  case $runtime in
    docker)
      docker run --rm alpine echo "test" >/dev/null
      ;;
    containerd)
      ctr run --rm docker.io/library/alpine:latest test echo "test" >/dev/null
      ;;
    rkt)
      rkt run --insecure-options=image docker://alpine --exec echo -- "test" >/dev/null
      ;;
  esac
  end=$(date +%s%N)
  echo "$runtime startup: $((($end - $start)/1000000)) ms"
done

# Создание именованного тома в Docker и монтирование в контейнер
docker volume create my_data
docker run -v my_data:/app/data nginx

# Монтирование директории хоста в containerd
ctr run --mount type=bind,src=/host/path,dst=/container/path,options=rbind:ro docker.io/library/alpine:latest test

# Измерение задержки сети в Docker
docker run --rm alpine sh -c "time ping -c 10 172.17.0.2"

# Типичный процесс разработки на Docker
docker-compose up -d    # Запуск всей инфраструктуры
docker-compose logs -f  # Мониторинг логов в режиме реального времени
docker exec -it app sh  # Интерактивный доступ к контейнеру

# Пример стратегии переезда с Docker на containerd
# 1. Экспорт образов из Docker в формат OCI
docker save my-image:latest | ctr images import -
 
# 2. Запуск тестового контейнера через containerd
ctr run --rm docker.io/library/my-image:latest test-container