在生产环境中使用Docker必须注意的事情

  • 时间:
  • 浏览:1

#GIFEE 事先,视频指出了另外一一一两个多多关于实施容器运行时隔离的大大问题 :

目前在Windows中集成的Linux内核API的目标是大帕累托图的Linux系统调用,还还要使得Windows对软件开发者来说成为一一一两个多多更有吸引力的平台(仅对目前)。将最近趋于稳定的这名 事件通过一一一两个多多越来越 精彩的办法来展现,.我都向这名 视频的创造者致敬!Hacker-News上的讨论参考:Ignore the Hype原文链接:Docker Caveats(翻译:李光成)========================================================译者介绍李光成,IBM中国研究院资深研究员,研究方向是云计算基础设施及技术。目前在做的是Docker资源隔离方面的研究项目。

微软前段时间承诺在Windows Server 2016中支持Windows容器的Docker API。在向Docker社区贡献代码使得Docke客户端工具还还要在Windows工作事先,微软在Windows内核中实现了文件系统和容器基础功能,甚至开源了Dot Net核心CLR 。

本文讲的是在生产环境中使用Docker还要注意的事情【编者语录】本文以最近非常火的希特勒怒喷Docker的视频为线索,详细分析了Docker趋于稳定的这名 大大问题 和弱点,以及在生产环境中使用Docker所要注意的方面。这名 大大问题 包括隔离性、镜像安全、Docker缺省配置、发布及部署;文章的最后分析了微软最近在容器支持方面的动作。

本文来自云栖社区合作伙伴DockerOne,了解相关信息还还要关注DockerOne。

原文发布时间为:2016-04-17

通常来说,还要仔细研究Docker的缺省值在你的环境和使用案例中是否并有的是优化的配置。类事Docker文档中覆盖了何如选者COW文件系统的所有内容。

容器vs 虚机

容易在“应用打包”的场景中提供了比虚机更多的优势,容器还还要放慢的构造,更容易分享,也还还要放慢的启动和停止。

博文Sandwich Analogy深入的解释了为这名 使用Docker Hub上的非官方公共镜像应该是使人担心的。

.我都有的是三明治的上下文中思考容器技术。通过观察,你还还都可以 轻易的了解到三明治的基本信息类事上方夹的是番茄还是生菜还是火腿事先火鸡肉;或许上方这名 你看越来越 的东西,但有你在基本上还还要了解大帕累托图的内容。这就跟容器类事,你还还都可以 了解到的信息诸如操作系统是Fedora事先RedHat事先Ubuntu,是否有httpd,shell类型,systemd的使用等等,你还还都可以 上方也事先有你在意想越来越 的隐藏大大问题 ,类事/bin/sh或许被替加上了一一一两个多多Python脚本,这就像是三明治里在生菜上方藏着橄榄一样。
镜像内容的安全大大问题 冒出 在2014和2015年的统统新闻中。Docker一直 努力的为出理 这名 大大问题 加上还要的功能。内容可寻址镜像层用来验证镜像的签名内容,有镜像抓取验证功能的镜像源不再将镜像ID作为保密内容,Docker Hub的Nautilus深层检视保证官方公共镜像的安全漏洞被及时被修复,另外Docker引擎还中有 了诸如用户名字空间,Secomp和AppArmor配置以及其它这名 安全相关的功能。

.我都相信,这名 段的启示应该是:

事先你的基础设施的整体设计越来越 保证每并有的是资源的可靠性和冗余性则不不使用容器。
你或许还还要通过统统技术的运用重新提升可靠性,类事使用共享存储、服务编排、监控以及中有 自愈功能的框架如Swarm中的当有节点失败时进行容器重新调度;事先Kubernetes副本设置中的“The Reconciliation Loop”的概念。

原文标题:在生产环境中使用Docker还要注意的事情

然而,容器技术被大众接受的办法与虚拟机的使用办法并越来越 这名 区别,镜像一直 中有 了整个Linux系统和大量非还要的二进制程序运行池池。这不但使得镜像文件变大进而使得部署放慢,也使得在生产环境中使用时增大了被攻击的事先性。幸运的是社区事先接受了slim应用容器的概念,通过使用最小化的Linux发行版类事Alpine – 现在所有的Docker官方镜像都使用Alpine,Alpine中有 了静态编译的仅依赖于其所编译的内核的二进制程序运行池池。

神化Docker的想法的幻灭。Jérôme Petazzoni在他的DockerCon EU 2015上的演讲中有 了更多的细节,cgroups详细的中有 了Linux容器对于资源管理的基本需求。对于视频里关于fork炸弹的吐槽,Docker 1.11中有 了一一一两个多多修改,详情见这名 视频的作者和Docker的维护者@jfrazelle之间的一段Twitter会话:

@frazelledazzell @francesc @nixcraft @m1keil nproc cgroup的支持只会在1.11.0中https://t.co/lCKjdNmx5Y

— Avishai Ish-Shalom (@nukemberg) April 11, 2016
在云环境中原本值得注意的大大问题 是熵的消耗(译者注:entropy depletion https://en.wikipedia.org/wiki/ ... %2529),这在共享内核的场景中是非常有意义的,还还要参考HAVEGED作为一一一两个多多变通方案。

不幸的是,在Windows和OSX中,要使用Linux容器还要在虚拟化环境中运行Linux内核,事先这名 大大问题 越来越 被充分的理解则事先带来的大大问题 和挫折。Docker也正在通过Docker客户端来改善这名 大大问题 (在写这篇文章的事先这名 新的Docker客户端版本还在Beta阶段)。新的Docker客户端所使用的出理 办法是通过更为紧密的与宿主机操作系统整合来复杂化开发人员在非Linux操作系统上的体验。

发布&部署

Docker工具箱不仅使得容器技术更流行,也中有 了关键的发布功能组件使得容器成为更流行的代码打包和部署办法。容器镜像使用已有的打包和部署工具出理 了统统实际的大大问题 。

你还还都可以 这名 视频中也犀利的指出了上方的技术运用方面的大大问题 :

.我都有的是能宣告Linux容器是一一一两个多多非常强大的概念,它组合了众多优秀的Linux内核功能和Docker开源工具,任何背景知识的开发者都很容易使用。在2016年容器峰会上,Bryan Cantrill深入的比较了容器技术造成的业界以及大众接受的大大问题 与对新的用户事先冒出 的大大问题 (链接中是共要 48分钟的专题讨论)。大大问题 诸如:事先对新技术身旁的支撑功能的理解过高 深入而造成的技术不当使用以及使人不愉快的意外。昨天,Avishai Ish-Shalom做了一一一两个多多恶搞视频指出了在还越来越 准备好的状态下使用Docker带来的挫折、意外和震惊。非常搞笑的视频,希特勒使用Docker:https://t.co/cmXB2Clj8D (译者注:该视频的中文版本在http://v.qq.com/page/n/u/a/n0193j4ylua.html)。在这篇博文中,.我都希望看一下其中的每一一一两个多多陈述并解构它们,以更深入的理解是这名 使得这名 视频越来越 精巧,而并肩也还还要作为任何一一一两个多多希望在生产环境中使用Docker的单位和此人 的有益参考。

隔离性

视频以一一一两个多多非常流行的CI/CD场景现在现在开始,使用Docker的公有镜像源、Docker Hub及其多容器管理工具Docker-Compose。应该指出的是,Docker的官方文档明确说明了Docker-Compose在目前主统统针对开发和测试环境的,不不适合在大规模的生产环境中使用。

还还要参考Docker docsthe Docker Security Portal

Docker缺省配置

正如博文Docker Internals强调的那样,事先你的Linux内核版本大于2.6.x,你还要关闭Docker守护程序运行池池上的userland-proxy以支持Hairpin NAT。

微软似乎扩展了Astoria项目(一一一两个多多Andriod模拟器)成为一一一两个多多令人印象深刻的模拟Linux的Windows子系统(WSL),微软上周宣告了WSL使得整个业界感到震惊。

程序运行池池的可扩展性依然还要你此人 去关注,还要去探索适合容器的用户场景。容器Pods的概念鼓励将程序运行池池分解成更小、更专注、合作的模块。容器提供的隔离性足够允许通过可重用的模块提供比单个的容器更可靠,更可扩展和放慢的服务。.我都相信这名 概念还要并有的是针对何如构建云环境中的应用的思考办法的变化。请参考容器编排模式即使对于这名 传统的有的是 越来越 “CloudNative”的应用,容器也提供了强大的部署模式类事Joyent倡导的自动驾驶模式

微软

本文作者:liguangcheng 

这强调了共享内核带来的第一一一两个多多大大问题 :降低了可靠性与冗余。