Изучаем Docker: что это, как использовать и как это работает

Как работает Docker под капотом

Namespaces: твой собственный мирок

Cgroups: чтоб никто не съел все ресурсы

• Ограничивать CPU, который может использовать контейнер,
• Ограничивать объем памяти,
• Ограничивать дисковый ввод/вывод,
• Контролировать доступ к устройствам.

Слои файловой системы: разбираем матрешку

Docker Engine: мозговой центр

1. CLI отправляет команду демону через REST API.
2. Демон проверяет, есть ли образ nginx локально.
3. Если нет, он скачивает его из registry (обычно Docker Hub).
4. Демон создает новый контейнер, настраивает namespaces и cgroups.
5. Запускает контейнер, выполняя команду, указанную в образе (CMD или ENTRYPOINT).

Сетевая подсистема: невидимые тоннели

Регистры и репозитории: где живут образы Docker

Docker vs виртуальные машины: разница в производительности

• Запуск контейнера: 50-100 мс,
• Запуск виртуальной машины: 30-60 секунд.
• Потребление памяти контейнером: базовый процесс + полезная нагрузка,
• Потребление памяти VM: минимум 512 МБ (для легковесной Linux VM).

Docker, (Cannot connect to the Docker daemon at unix:///var/run/docker.sock. Is the docker daemon running?)
До появления ошибки работал с Docker, запускал контейнеры, останавливал и удалял их. Но внезапно в...

Не могу создать образ Docker, подскажите как сделать. Вылазить ошибка. docker-file. Новичок в докере
Если можно обясните как строить докер файл. столько видео посмотрел ничего не понял Step 4/5 :...

Docker, IP Host -> Docker responce
есть некий сервис достучатся к которому возможно по IP (но только через VPN), задался вопросом, а...

Запуск linux контейнеров Docker в windows без Docker Desktop
Всем доброго времени суток! Пытаюсь разворачивать локальный веб-сервер на ПК С ОС windows с...

Практическое применение

Создание первого контейнера

1

docker run -d -p 8080:80 nginx

Dockerfile: автоматизация сборки

1
2
3
4
5
6
7
8
9
10
11
12
13

FROM node:18
 
WORKDIR /app
 
COPY package*.json ./
 
RUN npm install
 
COPY . .
 
EXPOSE 3000
 
CMD ["npm", "start"]

1

docker build -t myapp:latest .

1
2
3
4
5
6
7
8
9
10
11

# Этап сборки
FROM node:18 AS build
WORKDIR /app
COPY package*.json ./
RUN npm install
COPY . .
RUN npm run build
 
# Этап запуска
FROM nginx:alpine
COPY --from=build /app/build /usr/share/nginx/html

Управление данными: volumes, bind mounts и tmpfs

1
2

docker volume create mydata
docker run -v mydata:/data myapp

1

docker run -v /host/path:/container/path myapp

1

docker run --tmpfs /tmp myapp

Docker Compose: оркестрация многоконтейнерных приложений

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27

version: '3'
services:
  frontend:
    build: ./frontend
    ports:
      - "3000:3000"
    depends_on:
      - backend
  
  backend:
    build: ./backend
    ports:
      - "5000:5000"
    environment:
      - DB_HOST=database
    depends_on:
      - database
  
  database:
    image: postgres:13
    volumes:
      - db-data:/var/lib/postgresql/data
    environment:
      - POSTGRES_PASSWORD=secret
 
volumes:
  db-data:

1

docker-compose up -d

Сетевое взаимодействие контейнеров

1
2
3

docker network create mynetwork
docker run --network mynetwork --name server1 nginx
docker run --network mynetwork --name server2 nginx

Отладка контейнеров

1

docker logs -f container_id

1

docker exec -it container_id bash

1

docker inspect container_id

1

docker stats

1

docker exec -it container_id sh -c "apt-get update && apt-get install -y curl iputils-ping net-tools"

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17

name: Build and Push
 
on:
  push:
    branches: [ main ]
 
jobs:
  build:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v3
      - name: Build and push
        uses: docker/build-push-action@v4
        with:
          context: .
          push: true
          tags: myregistry/myapp:latest

Переменные окружения и секреты

1
2
3
4
5

# Через командную строку
docker run -e DATABASE_URL=postgres://user:pass@host/db myapp
 
# Через файл
docker run --env-file ./config.env myapp

Многостадийная оптимизация

1
2
3
4
5
6
7
8
9
10

FROM node:18 AS deps
WORKDIR /app
COPY package*.json ./
RUN npm install
 
FROM node:18-alpine
WORKDIR /app
COPY --from=deps /app/node_modules ./node_modules
COPY . .
CMD ["npm", "start"]

Запуск в производственной среде

1
2
3
4
5
6
7
8

docker run \
  --restart=unless-stopped \
  --health-cmd="curl -f http://localhost/health || exit 1" \
  --health-interval=30s \
  --health-retries=3 \
  --memory=512m \
  --cpu-shares=512 \
  myapp

Оптимизация образов Docker и многоэтапная сборка

Базовые принципы оптимизации образов

1
2
3

RUN apt-get update
RUN apt-get install -y curl
RUN apt-get clean

1
2
3
4

RUN apt-get update && \
    apt-get install -y curl && \
    apt-get clean && \
    rm -rf /var/lib/apt/lists/*

1
2
3
4
5

node_modules
npm-debug.log
.git
.env
*.md

Многоэтапная сборка: режим профессионала

1
2
3
4
5
6
7
8
9
10
11
12
13

# Этап сборки
FROM golang:1.19 AS builder
WORKDIR /app
COPY go.mod go.sum ./
RUN go mod download
COPY . .
# Статически скомпилированный бинарник
RUN CGO_ENABLED=0 GOOS=linux go build -a -installsuffix cgo -o app .
 
# Финальный этап
FROM scratch
COPY --from=builder /app/app /
ENTRYPOINT ["/app"]

1
2
3
4
5
6
7
8
9
10
11
12
13
14

FROM node:18 AS builder
WORKDIR /app
COPY package*.json ./
RUN npm ci
COPY . .
RUN npm run build
 
FROM node:18-alpine
WORKDIR /app
COPY --from=builder /app/dist ./dist
COPY --from=builder /app/package*.json ./
RUN npm ci --only=production
USER node
CMD ["node", "dist/index.js"]

• В финальный образ не попадают инструменты сборки.
• Меньше зависимостей = меньше уязвимостей.
• Образ содержит только то, что нужно для запуска.

Стратегии кэширования слоев

1
2
3

COPY package.json package-lock.json ./
RUN npm ci
COPY . .

1
2
3

COPY requirements.txt .
RUN pip install -r requirements.txt
COPY . .

Безопасность образов: скрытая проблема

1

trivy image myapp:latest

1
2

RUN addgroup -S appgroup && adduser -S appuser -G appgroup
USER appuser

Тегирование образов: порядок в хаосе

• Семантическое версионирование: myapp:1.2.3,
• Git-хеши для каждого коммита: myapp:abcd123,
• Теги окружений: myapp:staging, myapp:production,
• Датированные теги для архивных версий: myapp:2023-05-15.

• Для PR: myapp:pr-123,
• Для веток: myapp:feature-xyz,
• Для релизов: myapp:1.2.3 и myapp:latest.

Оптимизация для конкретных языков

1

./gradlew jib

1

RUN pip install --no-cache-dir -r requirements.txt

1

RUN bundle install --without development test

Docker в облачных платформах: AWS, Azure, Google Cloud

Amazon Web Services (AWS) и Docker

1
2
3
4
5
6
7
8
9
10

# Логин в ECR
aws ecr get-login-password --region us-east-1 | docker login --username AWS --password-stdin 123456789012.dkr.ecr.us-east-1.amazonaws.com
 
# Сборка и публикация образа
docker build -t myapp .
docker tag myapp:latest 123456789012.dkr.ecr.us-east-1.amazonaws.com/myapp:latest
docker push 123456789012.dkr.ecr.us-east-1.amazonaws.com/myapp:latest
 
# Обновление сервиса ECS
aws ecs update-service --cluster my-cluster --service my-service --force-new-deployment

Microsoft Azure и контейнеры

1
2
3
4
5
6
7
8

# Логин в ACR
az acr login --name myregistry
 
# Сборка напрямую в ACR
az acr build --registry myregistry --image myapp:latest .
 
# Деплой в ACI
az container create --resource-group mygroup --name myapp --image myregistry.azurecr.io/myapp:latest --dns-name-label myapp --ports 80

Google Cloud Platform (GCP) и контейнеры

1
2
3
4
5
6
7
8

# Сборка образа
docker build -t gcr.io/my-project/myapp .
 
# Публикация
docker push gcr.io/my-project/myapp
 
# Деплой в Cloud Run
gcloud run deploy myapp --image gcr.io/my-project/myapp --platform managed --region us-central1

Сравнение облачных платформ для Docker

Миграция локальных контейнеров в облако

Kubernetes: когда Docker нужен дирижер

1. Автоматическое восстановление при сбоях.
2. Горизонтальное масштабирование.
3. Балансировку нагрузки.
4. Обновление без простоя.
5. Управление конфигурацией и секретами.

Реальные кейсы и подводные камни

Микросервисная архитектура: когда Docker меняет правила игры

• Возможность обновлять отдельные сервисы без простоя всей системы.
• Разные команды работали над разными сервисами независимо.
• Мы могли масштабировать только те сервисы, которые испытывали нагрузку.

• Усложнение отладки распределенных трансакций.
• Необходимость в централизованном логировании и мониторинге.
• Сложности с управлением сетевыми взаимодействиями.

CI/CD с Docker: автоматизация на новом уровне

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23

# Фрагмент .gitlab-ci.yml
stages:
  - build
  - test
  - push
  - deploy
 
build:
  stage: build
  script:
    - docker build -t myapp:test --target test .
    - docker build -t myapp:prod --target production .
 
test:
  stage: test
  script:
    - docker run myapp:test npm run test
 
push:
  stage: push
  script:
    - docker tag myapp:prod registry.example.com/myapp:${CI_COMMIT_SHA}
    - docker push registry.example.com/myapp:${CI_COMMIT_SHA}

Безопасность: тихая угроза контейнеров

1. Регулярно сканируйте образы на уязвимости (Trivy, Clair, Snyk).
2. Используйте непривилегированных пользователей внутри контейнеров.
3. Ограничивайте возможности контейнеров с помощью seccomp и AppArmor.
4. Контролируйте доступ к Docker API с помощью TLS и авторизации.

1
2
3
4
5
6

FROM alpine:3.17
RUN apk add --no-cache nodejs
USER node
COPY --chown=node:node app /app
WORKDIR /app
ENTRYPOINT ["node", "index.js"]

Производительность в продакшене: бенчмарки и узкие места

Типичные антипаттерны использования Docker

Мониторинг и отладка: обязательная дисциплина

1. Prometheus для сбора метрик.
2. Grafana для визуализации.
3. Jaeger для трассировки запросов.
4. Fluentd для сбора логов.

Альтернативы Docker: Podman, containerd и что выбрать

Podman: Docker без демона

1
2
3

podman run -d -p 8080:80 nginx
podman build -t myapp .
podman-compose up -d

containerd: низкоуровневый движок

1
2

ctr images pull docker.io/library/nginx:latest
ctr run --detach docker.io/library/nginx:latest web

CRI-O: специально для Kubernetes

nerdctl: современный CLI для containerd

1
2

nerdctl run -d -p 8080:80 nginx
nerdctl compose up -d

Сравнение производительности и безопасности

1. Docker: базовый уровень (100%).
2. Podman: примерно как Docker (95-105%).
3. containerd: быстрее Docker (120-130%).
4. CRI-O: примерно как containerd (120-135%).

• Docker: исторически имел проблемы с архитектурой демона.
• Podman: бездемонная архитектура повышает безопасность.
• containerd: минималистичный дизайн уменьшает поверхность атаки.
• CRI-O: строго следует спецификациям OCI, минимум лишнего кода.

Когда что выбирать?

Заключение: Перспективы контейнеризации и следующие шаги изучения

• Освойте базовые инструменты: Docker CLI, Dockerfile, Docker Compose.
• Изучите принципы оркестрации с Kubernetes или Docker Swarm.
• Познакомьтесь с CI/CD пайплайнами для контейнеров.
• Попрактикуйтесь с мониторингом и наблюдаемостью контейнеров.

Docker-compose push to Docker Hub
Всем привет! Я заготовил docker-compose.yml, но есть несколько зависимостей в папочках . ├──...

Деплоймент, docker. Что это и как загрузить сайт?
Сделал сайт на вордпрессе. Сейчас он находится на моем сервере. Я его должен передать клиенту....

Как AppVeyor (аналог Docker) использовать сборку в конечной/коммерческой цели
appveyor.com - Не пойму предназначение этих сборок День добрый. 1. Создал код , 2. Прогнал...

Postgre не может использовать порт 5432. PostgreSQL на Docker
Не получается работать с контейнером. Постоянно падает. Вот логи: The files belonging to this...

Стоит ли использовать supervisor при docker контейнеризации?
Доброго времени суток. Изучаю сейчас Docker, хочу применить его для сборки учебного проекта. Возник...

Использовать ли графический редактор для работы с Docker?
В IDE-редакторах JetBrains существует удобный графический модуль для работы с Git. Я умею работать...

Не работает переадресация с apache2 на docker container
Всем привет! Имеется: ubuntu 18.04 apache2 ssl сертификат (прикручен к апаче) net core 3.1...

На сайте php запущенном с помощью Docker не работает css
Есть сайт, работает он на хостинге, всё нормально, всё корректно работает, но я пересел на linux и...

Что такое Docker?
Что такое Docker ? Наслышана такая штука контейнерная революция но толком не понятно что это...

Как установить Docker на Debian?
Я еще новичок в Линуксе. Вот надо установить Докер. Я сделал все по инстрккции sudo apt update...

Как сделать бэкап с одного docker контейнера и развернуть его в другом?
Привет! Есть 2 независимых физически разделенных docker-контейнера с Монгой, к которой есть...

Как прописать путь к статике для nginx при docker контейнеризации?
Здравствуйте. Начал осваивать docker-compose, возникла проблема с правильной компоновкой nginx и...