DockerLinux Containers for Dummies
Gustavo MusleraMarzo 2014
Problemas con enfoques actuales
● Conflictos en librerías/aplicaciones: Servicio A requiere X 0.95, servicio B requiere X 1.03, para que convivan en un mismo hardware/vm hay que hacer trucos
● Implicaciones de seguridad de muchas aplicaciones conviviendo en un mismo hardware/vm
● VMs cargan sistema completo, requieren uso extra de memoria, cpu, disco, a veces bastante importante
● Cache de disco en VMs afecta overcommiting para otras VMs, pero no tener cache de disco afecta negativamente performance
● Testing de aplicaciones implica replicación de máquinas completas. Es “caro” tener para cada desarrollador un ambiente idéntico al de producción. Desarrollo/testing/producción deberían ser lo mas parecido posible
● Alta disponibilidad implica mover/cargar VMs completas por la red● Costos extras (mas máquinas) en nubes si se quieren compartimentar
aplicaciones● Algunos paquetes/versiones estan para una distribución y no para
otras. Instalarlos implica instalar de fuente o crear nueva vm/maquina
• "chroot en esteroides"• aislacion de procesos del resto del sistema, su propia
red, procesos, usuarios, y filesystem• cgroups para limitar uso de recursos del sistema
(cpu/red/disco/etc)• Pueden usarse para levantar aplicaciones individuales
en sistemas restringidos, sin cargar sistemas completos. Pueden verse como contenedores (de puerto) que llevan dentro la aplicación independiente completa.
• En linux: openvz, vserver, lmctfy, lxc• Otros SO tienen conceptos similares: BSD Jails, Solaris
Zones
Containers
• Originalmente: Linux 3.8+, aufs, lxc y 64 bits. Ubuntu 12.04 y 13.04 eran las distribuciones oficiales, pero corría en debian, suse, y muchos “clouds”
• En 0.7 soporto storage drivers, agregando device mapper/btrfs/vfs. Se agrega RHEL 6.5 (y centos, fedora, etc) que no tenía soporte aufs.
• En 0.8 “soporta” OS X, corriendo linux en una vm liviana y comunicándose con el docker del vm
• En 0.9 agregaron soporte de drivers de ejecución, podría andar con openvz, bsd jails, solaris zones, chroot, qemu y otros. Y libcontainer, para hablar directamente con el kernel, ya no es obligatorio lxc.
Docker: Requerimientos
Ejemplo de sesión manual
# docker pull base# docker run -i -t base /bin/bashroot@15c0db264611:/# apt-get install memcachedroot@15c0db264611:/# exit# docker ps -aID IMAGE COMMAND CREATED STATUS PORTS7717ce712162 base:latest /bin/bash 2 minutes ago Exit 0# docker commit 7717ce712162 test/mcached# docker run -d -p 11211 test/mcached memcached -u daemon# docker psID IMAGE COMMAND CREATED STATUS PORTS66a2cbdda35d test/mcached:latest memcached -u daemon 3 minutes ago Up 3 minutes 49153->11211
Que paso en el disco?
base
7717ce712162test/mcached
66a2cbdda35d
docker pull base
apt-get install memcached
docker run ...
Contenedores creados
fbc9c18e0ac8
aff8363240b1 apt-get install nginx
docker run -v ...
ed464b61c53d
docker run -v ...
27d06e9d3eea
vi nginx.conf
Docker builder
# Dockerfile para nginx + php-fpmFROM ubuntu:12.10
RUN echo "deb http://archive.ubuntu.com/ubuntu precise main universe" > /etc/apt/sources.list.d/precise.list && apt-get updateRUN apt-get install -y nginx php5-fpm php5-pgsql php5-curl php5-json php-apc
RUN echo "cgi.fix_pathinfo = 0;" >> /etc/php5/fpm/php.iniRUN echo "daemon off;" >> /etc/nginx/nginx.confADD ./nginx-site.conf /etc/nginx/sites-available/default
EXPOSE 80
CMD service php5-fpm start && nginx
docker build nginxphp/ (subdirectorio con archivo Dockerfile + extras)
Va a ejecutar paso por paso el script, y tirar a consola el id de la imagen generada, similar a receta de puppet o vagrant
docker run -d -p 8080:80 -v=/sitios/nginxphp-www:/usr/share/nginx/www nginxphp
Repositorio central• Almacen de imágenes ya hechas, base, ubuntu, centos,
logstash, mongodb, etc• Motor de busqueda en http://index.docker.io • comandos docker pull imágenes, login para
autenticación y push de imagenes, search para buscar• APIs para acceder al index server (donde esta la
búsqueda, metadatos, usuarios, etc) y al registry server (donde estan las imagenes)
• Se pueden tener repositorios internos
Administración avanzada
• Remote API: Escucha por defecto en puerto 4243, invocaciones tipo POST /images/(nombre)/comando, con librerías existentes para python, ruby, js, java, php, go
• Varias WebUI simples, p/ej en https://github.com/crosbymichael/dockerui
• Integración con OpenStack. Empezó siendo driver de Nova pero para la siguiente versión lo es de Heat, el orquestador de servicios
• Integración con OpenShift de RedHat
• Flynn,Deis,Shipyard,CoreOS,Dokku, y muchos otros