Docker: mitte kahjulikud nõuanded

Minu artikli kommentaarides Docker: halvad nõuanded oli palju palveid selgitada, kui kohutav on selles kirjeldatud Dockerfile.

Eelneva osa kokkuvõte: kaks arendajat pingelise tähtaega silmas pidades koostavad Dockerfile'i. Protsessi käigus tuleb Ops Igor Ivanovits. Lõppenud Dockerfile on nii halb, et IA jääb infarkti äärele.

Nüüd uurime, mis on selle Dockerfile'iga valesti.

Nii et nädal on möödunud.

Dev Peeter kohtub sööklas kohvitassi taga Ops Igor Ivanovitsiga.

P: Igor Ivanovits, kas te olete väga hõivatud? Tahaksime aru saada, kus me eksisime.

IA: Hästi, ei ole tihti arendajaid, keda huvitab kasutamine.
Alustame mõningate asjade kokkuleppimisest:

1. Docker'i ideoloogia: üks konteiner — üks protsess.
2. Mida väiksem konteiner, seda parem.
3. Mida rohkem võetakse vahemikust, seda parem.

P: Miks peab ühes konteineris olema üks protsess?

IA: Docker jälgib konteineri käivitamisel protsessi olekut pid 1. Kui protsess sureb, üritab Docker konteinerit uuesti käivitada. Kui teil on konteineris mitu rakendust või peamine rakendus ei tööta pid 1 pealt, siis Docker ei saa teada, kui protsess sureb.

Kui küsimusi pole, näita oma Dockerfile'i.

Ja Peeter näitas:

FROM ubuntu:latest

# Kopeerime lähtekoodi
COPY .\/\/app
WORKDIR \/app

# Uuendame paketiluettelo
RUN apt-get update

# Uuendame pakette
RUN apt-get upgrade

# Paigaldame vajalikud pakettid
RUN apt-get -y install libpq-dev imagemagick gsfonts ruby-full ssh supervisor

# Paigaldame bundleri
RUN gem install bundler

# Paigaldame nodejs, mida kasutatakse staatika kogumiseks
RUN curl -sL https:\/\/deb.nodesource.com\/setup_9.x | sudo bash -
RUN apt-get install -y nodejs

# Paigaldame sõltuvused
RUN bundle install --without development test --path vendor\/bundle

# Koristame pärast end
RUN rm -rf \/usr\/local\/bundle\/cache\/*.gem
RUN apt-get clean
RUN rm -rf \/var\/lib\/apt\/lists\/* \/tmp\/* \/var\/tmp\/*
RUN rake assets:precompile
# Käivitame skripti, kui konteiner käivitatakse, mis käivitab kõik muu.
CMD ["\/app\/init.sh"]

IA: Oh, alustame järjekorras. Alustame esimesest reast:

FROM ubuntu:latest

Te võtate sildi latest. Sildi kasutamine latest toob kaasa ettearvamatud tagajärjed. Kujutage ette, et pildi hooldaja kogub uue versiooni, millel on erinev tarkvarade loetelu, see pilt saab sildi latest. Ja teie konteiner, parimal juhul, lõpetab koostamise, halvemal juhul tabate vigu, mida varem polnud.

Sa võtate kujutise täiskohaga opsüsteemist, kus on palju kasutud rakendusi, mis suurendavad konteineri mahtu. Ja mida rohkem rakendusi, seda rohkem on auke ja haavatavusi.

Lisaks, mida suurem on kujutis, seda rohkem ruumi see võtab hostis ja registris (sa ikka hoiad kuskil neid kujutisi)?

K: Jah, muidugi, meil on registri, sa ju seadistasid selle.

AI: Nii, millest ma räägin?.. Ah, jah, mahud... Koormus kasvab ka võrku. Ühe kujutise korral pole see märgatav, kuid kui toimub pidev ehitamine, testimine ja juurutamine, on see tuntav. Ja kui sul pole AWS-is jumala režiimi, saad veel kosmilise arve.

Seetõttu on oluline valida sobivaim kujutis, täpse versiooniga ja minimaalsete rakendustega. Näiteks võta: FROM ruby:2.5.5-stretch

K: Okei, selge. Kuidas ja kus vaadata olemasolevaid kujutisi? Kuidas mõista, milline mulle sobib?

AI: Tavaliselt võetakse kujutised Docker Hub'ist, ära sega seda pornograafiaga :). Kujutise jaoks on tavaliselt mitu ehitust:: kujutised on koostatud minimalistlikust Linuxi kujutisest, ainult 5 MB. Selle miinus: see on koostatud oma libc rakendusega, standardpaketid ei tööta. Vajalikku paketti otsimine ja installimine võtab palju aega.
Ettevõte Canonical on juba: põhikujutis, ei kasutata teiste kujutiste koostamiseks. See on mõeldud ainult ettevalmistatud andmete käivitamiseks. Sobib suurepäraselt binaarsete rakenduste käitamiseks, mis sisaldavad kõike vajalikku, näiteks Go-rakendusi.
ScratchMõne operatsioonisüsteemi, nagu Ubuntu või Debian, põhjal. No, siin arvan, et ei pea selgitama.
AI: Nüüd peame installima kõik lisapaketid ja oma vahehaarded puhastama. Ja kohe saab visata ära

apt-get upgrade. Muudest, igal ehitamisel, hoolimata põhifaili fikseeritud sildist, saavad erinevad kujutised. Pakettide uuendamine kujutises on hooldaja ülesanne ja see kaasneb sildi muutmisega.K: Jah, ma proovisin seda teha, mul õnnestus nii:

WORKDIR /app COPY ./ /appRUN curl -sL https://deb.nodesource.com/setup_9.x | bash - && apt-get -y install libpq-dev imagemagick gsfonts ruby-full ssh supervisor nodejs && gem install bundler && bundle install --without development test --path vendor/bundleRUN rm -rf /usr/local/bundle/cache/*.gem && apt-get clean && rm -rf /var/lib/apt/lists/* /tmp/* /var/tmp/*

AI: Üsna hea, aga siin on veel, millega töötada. Vaata, see käsk:

RUN rm -rf /usr/local/bundle/cache/*.gem && apt-get clean && rm -rf /var/lib/apt/lists/* /tmp/* /var/tmp/*

RUN rm -rf /usr/local/bundle/cache/*.gem 
    && apt-get clean  
    && rm -rf /var/lib/apt/lists/* /tmp/* /var/tmp/*  

… ei eemalda andmeid lõplikust pildist, vaid loob lihtsalt lisakihi nende andmete ilma. Õige on nii:

RUN curl -sL https://deb.nodesource.com/setup_9.x | bash - 
    && apt-get -y install libpq-dev imagemagick gsfonts nodejs 
    && gem install bundler 
    && bundle install --without development test --path vendor/bundle   
    && rm -rf /usr/local/bundle/cache/*.gem 
    && apt-get clean  
    && rm -rf /var/lib/apt/lists/* /tmp/* /var/tmp/* 

Aga see ei ole veel kõik. Mis teil seal on, Ruby? Siis ei ole vaja projekti alguses kogu projekti kopeerida. Piisab, kui kopeerite Gemfile'i ja Gemfile.locki.

Sellise lähenemise korral ei toimu bundle install iga muutumise korral, vaid ainult siis, kui Gemfile või Gemfile.lock on muutunud.

Samad meetodid kehtivad ka teiste keelte jaoks, kus on sõltuvuste haldur, nagu npm, pip, composer ja teised, mis põhinevad sõltuvuste loendi failil.

Ja lõpuks, kas sa mäletad, et ma mainisin Docker'i ideoloogiat „üks konteiner — üks protsess”? See tähendab, et supervisorit ei ole vaja. Samuti ei tasu installida systemd, samadel põhjustel. Tegelikult on Docker ise supervisor. Ja kui püüad selles käivitada mitu protsessi, on see nagu ühes protsessis supervisoris käivitada mitu rakendust.
Kogumise ajal loobite te ühe pildi ja seejärel käivitate soovitud arvu konteinerit, nii et igas töötab üks protsess.

Aga sellest hiljem.

K: Tundub, et sain aru. Vaata, mis välja tuleb:

FROM ruby:2.5.5-stretch

WORKDIR /app
COPY Gemfile* /app

RUN curl -sL https://deb.nodesource.com/setup_9.x | bash - 
    && apt-get -y install libpq-dev imagemagick gsfonts nodejs 
    && gem install bundler 
    && bundle install --without development test --path vendor/bundle   
    && rm -rf /usr/local/bundle/cache/*.gem 
    && apt-get clean  
    && rm -rf /var/lib/apt/lists/* /tmp/* /var/tmp/* 

COPY . /app
RUN rake assets:precompile

CMD ["bundle”, “exec”, “passenger”, “start"]

Ja kas me ületame deemonite käivitamise konteineri käivitamisel?

AI: Jah, kõik on õige. Muide, saate kasutada nii CMD-d kui ka ENTRYPOINT-i. Ja lahendada, milles vahe on, see on sulle kodutöö. Selle kohta on Habr's head artiklid. artikkel.

Nii, jätkame. Sa laadid alla node'i installifaili, kuid samal ajal ei ole mingit garantiid, et seal on see, mida vajad. Siia tuleb lisada valideerimine. Näiteks nii:

RUN curl -sL https://deb.nodesource.com/setup_9.x > setup_9.x 
    && echo "958c9a95c4974c918dca773edf6d18b1d1a41434  setup_9.x" | sha1sum -c - 
    && bash setup_9.x 
    && rm -rf setup_9.x 
    && apt-get -y install libpq-dev imagemagick gsfonts nodejs 
    && gem install bundler 
    && bundle install --without development test --path vendor/bundle   
    && rm -rf /usr/local/bundle/cache/*.gem 
    && apt-get clean  
    && rm -rf /var/lib/apt/lists/* /tmp/* /var/tmp/* 

Kontrollsummas kontrollimise abil saad veenduda, et oled õige faili alla laadinud.

K: Aga kui fail muutub, siis kogu protsess ebaõnnestub.

AI: Jah, ja see on kummaliselt hea, et see nii on. Sa saad teada, et fail on muutunud, ja saad vaadata, mis seal on muutunud. Kes teab, võib-olla on seal näiteks skript, mis kustutab kõik, millele see ulatub, või teeb ukse tagant sissepääsu.

K: Aitäh. Tundub, et lõpuks Dockerfile näeb välja selline:

FROM ruby:2.5.5-stretch

WORKDIR /app
COPY Gemfile* /app

RUN curl -sL https://deb.nodesource.com/setup_9.x > setup_9.x 
    && echo "958c9a95c4974c918dca773edf6d18b1d1a41434  setup_9.x" | sha1sum -c - 
    && bash setup_9.x 
    && rm -rf setup_9.x 
    && apt-get -y install libpq-dev imagemagick gsfonts nodejs 
    && gem install bundler 
    && bundle install --without development test --path vendor/bundle   
    && rm -rf /usr/local/bundle/cache/*.gem 
    && apt-get clean  
    && rm -rf /var/lib/apt/lists/* /tmp/* /var/tmp/* 

COPY . /app
RUN rake assets:precompile

CMD ["bundle", "exec", "passenger", "start"]

K: Igor Ivanovitš, aitäh abi eest. Mul on juba aeg minna, pean täna veel 10 kommiti tegema.

Igor Ivanovitš, peatades kiirustava kolleegi pilguga, võtab lonksu tugevat kohvi. Mõtlemiseks kulub paar sekundit SLA 99.9% ja bugivabade koodide üle, seejärel küsib ta.

AI: Kus te logisid hoiate?

K: Loomulikult production.log-s. Üks hetk, kuidas me ilma ssh ta juurde ligi pääseme?

AI: Kui te jätate need failidesse, on lahendus teie jaoks juba välja mõeldud. Käsk docker exec võimaldab teil käivitada igasuguseid käske konteineris. Näiteks võite logide vaatamiseks kasutada cat käsku. Ja kui kasutate võtme -it ja käivitate bash-i (kui see on konteineris installitud), siis saate interaktiivse juurdepääsu konteinerile.

Aga logide failides hoidmine ei ole mõistlik. Kõige vähem viib see konteineri kontrollimatu kasvuni, sest keegi ei rotatsiooni tee logisid. Kõik logid tuleks suunata stdout-i. Sealt saate neid vaadata käsu docker logs.

K: Igor Ivanovitš, aga kas ei oleks võimalik loge viia monteeritud kausta, füüsilisse nodi, nagu kasutajate andmed?

AI: Hea, et te ei unustanud välja viia andmeid, mis on salvestatud nodi kettale. Logide puhul on ka võimalik, lihtsalt ära unustage rotatsiooni seadistamist.
Kõik, saad minna.

P: Igor Ivanovich, soovitaksite, mida lugeda?

AI: Alustuseks loe Docker'i arendajate soovitusi, tõenäoliselt ei tea keegi Docker'ist paremini kui nemad.

Ja kui soovid praktikat, mine intensiivkursusele. Teooria ilma praktikata on surnud.

Allikas: habr.com