도커: 나쁘지 않은 조언

내 글 댓글에 도커: 나쁜 조언 거기에 설명된 Dockerfile이 왜 그렇게 형편없는지 설명해 달라는 요청이 많았습니다.

이전 시리즈 요약: 두 명의 개발자가 촉박한 마감 기한 내에 Dockerfile을 작성합니다. 그 과정에서 Igor Ivanovich 작전이 그들에게 다가옵니다. 그 결과 Dockerfile이 너무 나빠서 AI가 심장마비 직전에 이르렀습니다.

이제 이 Dockerfile에 어떤 문제가 있는지 알아봅시다.

그렇게 일주일이 지났습니다.

Dev Petya는 커피 한 잔을 마시며 식당에서 Ops Igor Ivanovich를 만납니다.

교수: Igor Ivanovich, 많이 바빠요? 우리가 어디서 실수를 했는지 알고 싶습니다.

AI: 좋습니다. 활용에 관심이 있는 개발자를 자주 만나지 않습니다.
먼저 몇 가지 사항에 동의해 보겠습니다.

1. Docker 이데올로기: 하나의 컨테이너 - 하나의 프로세스.
2. 용기는 작을수록 좋습니다.
3. 캐시에서 더 많이 가져갈수록 좋습니다.

P: 하나의 컨테이너에 하나의 프로세스가 있어야 하는 이유는 무엇입니까?

AI: Docker는 컨테이너를 시작할 때 pid 1로 프로세스 상태를 모니터링합니다. 프로세스가 종료되면 Docker는 컨테이너를 다시 시작하려고 시도합니다. 컨테이너에서 여러 애플리케이션이 실행 중이거나 기본 애플리케이션이 pid 1로 실행되고 있지 않다고 가정해 보겠습니다. 프로세스가 종료되면 Docker는 이에 대해 알지 못합니다.

더 궁금한 점이 있으시면 Dockerfile을 보여주세요.

그리고 Petya는 다음을 보여주었습니다.

FROM ubuntu:latest

# Копируем исходный код
COPY ./ /app
WORKDIR /app

# Обновляем список пакетов
RUN apt-get update 

# Обновляем пакеты
RUN apt-get upgrade

# Устанавливаем нужные пакеты
RUN apt-get -y install libpq-dev imagemagick gsfonts ruby-full ssh supervisor

# Устанавливаем bundler
RUN gem install bundler

# Устанавливаем nodejs используется для сборки статики
RUN curl -sL https://deb.nodesource.com/setup_9.x | sudo bash -
RUN apt-get install -y nodejs

# Устанавливаем зависимости
RUN bundle install --without development test --path vendor/bundle

# Чистим за собой кэши
RUN rm -rf /usr/local/bundle/cache/*.gem 
RUN apt-get clean 
RUN rm -rf /var/lib/apt/lists/* /tmp/* /var/tmp/* 
RUN rake assets:precompile
# Запускаем скрипт, при старте контейнера, который запустит все остальное.
CMD ["/app/init.sh"]

AI: 아, 순서대로 살펴보겠습니다. 첫 번째 줄부터 시작해 보겠습니다.

FROM ubuntu:latest

태그를 가져가세요 latest. 태그 사용 latest 예측할 수 없는 결과를 초래합니다. 이미지 관리자가 다른 소프트웨어 목록을 사용하여 이미지의 새 버전을 구축하고 이 이미지가 최신 태그를 수신한다고 상상해 보세요. 그리고 컨테이너는 기껏해야 구축이 중단되고 최악의 경우에는 이전에 존재하지 않았던 버그를 발견하게 됩니다.

불필요한 소프트웨어가 많이 포함된 본격적인 OS로 이미지를 촬영하면 컨테이너의 볼륨이 부풀려집니다. 소프트웨어가 많을수록 허점과 취약점도 늘어납니다.

게다가 이미지가 클수록 호스트와 레지스트리에서 더 많은 공간을 차지하게 됩니다. (이미지를 어딘가에 저장하시나요?)

P: 네, 물론이죠. 레지스트리가 있으니 직접 설정하세요.

AI: 그럼 제가 무슨 말을 하는 걸까요?.. 아 그렇군요. 볼륨이... 네트워크 부하도 늘어나고 있습니다. 단일 이미지의 경우 이는 눈에 띄지 않지만 지속적인 빌드, 테스트 및 배포가 있으면 눈에 띕니다. 그리고 AWS에 God's 모드가 없으면 우주 요금도 받게 됩니다.

따라서 정확한 버전과 최소 소프트웨어를 사용하여 가장 적합한 이미지를 선택해야 합니다. 예를 들면 다음과 같습니다. FROM ruby:2.5.5-stretch

교수: 아, 알겠습니다. 사용 가능한 이미지를 어디서 어떻게 볼 수 있나요? 나에게 필요한 것이 무엇인지 어떻게 알 수 있나요?

AI: 일반적으로 이미지는 다음에서 가져옵니다. 도커허브, Pornhub와 혼동하지 마십시오 :). 일반적으로 이미지에는 여러 어셈블리가 있습니다.
알프스 산맥의: 이미지는 최소 5MB의 Linux 이미지로 수집됩니다. 단점: 자체 libc 구현으로 컴파일되어 표준 패키지가 작동하지 않습니다. 필요한 패키지를 찾아 설치하는 데는 많은 시간이 걸립니다.
지우고: 기본 이미지, 다른 이미지를 빌드하는 데 사용되지 않습니다. 준비된 바이너리 데이터를 실행하기 위한 용도로만 사용됩니다. GO 애플리케이션과 같이 필요한 모든 것을 포함하는 바이너리 애플리케이션을 실행하는 데 이상적입니다.
Ubuntu 또는 Debian과 같은 모든 OS를 기반으로 합니다. 글쎄요, 설명할 필요는 없을 것 같아요.

AI: 이제 모든 추가 기능을 설치해야 합니다. 패키지를 만들고 캐시를 지웁니다. 그리고 바로 버릴 수도 있어요 apt-get 업그레이드. 그렇지 않으면 기본 이미지의 고정 태그에도 불구하고 각 빌드마다 다른 이미지를 얻게 됩니다. 이미지의 패키지 업데이트는 관리자의 작업이며 태그 변경이 수반됩니다.

P: 네, 시도해 봤는데 결과는 이렇습니다.

WORKDIR /app
COPY ./ /app

RUN curl -sL https://deb.nodesource.com/setup_9.x | bash - 
    && apt-get -y install libpq-dev imagemagick gsfonts ruby-full ssh supervisor nodejs 
    && gem install bundler 
    && bundle install --without development test --path vendor/bundle

RUN rm -rf /usr/local/bundle/cache/*.gem 
    && apt-get clean  
    && rm -rf /var/lib/apt/lists/* /tmp/* /var/tmp/*

AI: 나쁘지는 않지만, 해결해야 할 부분도 있습니다. 보세요, 여기 이 명령이 있습니다:

RUN rm -rf /usr/local/bundle/cache/*.gem 
    && apt-get clean  
    && rm -rf /var/lib/apt/lists/* /tmp/* /var/tmp/*  

... 최종 이미지에서 데이터를 삭제하지 않고, 이 데이터 없이 추가 레이어만 생성합니다. 정확하게는 다음과 같습니다:

RUN curl -sL https://deb.nodesource.com/setup_9.x | bash - 
    && apt-get -y install libpq-dev imagemagick gsfonts nodejs 
    && gem install bundler 
    && bundle install --without development test --path vendor/bundle   
    && rm -rf /usr/local/bundle/cache/*.gem 
    && apt-get clean  
    && rm -rf /var/lib/apt/lists/* /tmp/* /var/tmp/* 

그러나 그것이 전부는 아닙니다. 거기 뭐 갖고 있어, 루비? 그러면 처음에 전체 프로젝트를 복사할 필요가 없습니다. Gemfile과 Gemfile.lock을 복사하는 것으로 충분합니다.

이 접근 방식을 사용하면 모든 소스 변경에 대해 번들 설치가 실행되지 않고 Gemfile 또는 Gemfile.lock이 변경된 경우에만 실행됩니다.

npm, pip, Composer 및 종속성 목록이 있는 파일을 기반으로 하는 기타 종속성 관리자가 있는 다른 언어에서도 동일한 방법이 작동합니다.

마지막으로, 처음에 "하나의 컨테이너 - 하나의 프로세스"라는 Docker 이념에 대해 이야기했던 것을 기억하시나요? 이는 감독자가 필요하지 않다는 것을 의미합니다. 같은 이유로 systemd도 설치하면 안 됩니다. 본질적으로 Docker 자체는 감독자입니다. 그리고 그 안에서 여러 프로세스를 실행하려고 하면 하나의 감독자 프로세스에서 여러 애플리케이션을 실행하는 것과 같습니다.
빌드할 때 단일 이미지를 만든 다음 각 컨테이너에서 하나의 프로세스가 실행되도록 필요한 수의 컨테이너를 시작합니다.

그러나 나중에 더 자세히 설명합니다.

P: 알 것 같아요. 무슨 일이 일어나는지 보세요:

FROM ruby:2.5.5-stretch

WORKDIR /app
COPY Gemfile* /app

RUN curl -sL https://deb.nodesource.com/setup_9.x | bash - 
    && apt-get -y install libpq-dev imagemagick gsfonts nodejs 
    && gem install bundler 
    && bundle install --without development test --path vendor/bundle   
    && rm -rf /usr/local/bundle/cache/*.gem 
    && apt-get clean  
    && rm -rf /var/lib/apt/lists/* /tmp/* /var/tmp/* 

COPY . /app
RUN rake assets:precompile

CMD ["bundle”, “exec”, “passenger”, “start"]

컨테이너를 시작할 때 데몬 시작을 재정의할 수 있나요?

AI: 네, 맞습니다. 그런데 CMD와 ENTRYPOINT를 모두 사용할 수 있습니다. 그리고 차이점이 무엇인지 알아내는 것이 숙제입니다. Habré에는 이 주제에 관한 좋은 글이 있습니다. 기사.

그럼 계속 진행하겠습니다. 노드를 설치하기 위해 파일을 다운로드하지만 필요한 내용이 포함된다는 보장은 없습니다. 유효성 검사를 추가해야 합니다. 예를 들어 다음과 같습니다.

RUN curl -sL https://deb.nodesource.com/setup_9.x > setup_9.x 
    && echo "958c9a95c4974c918dca773edf6d18b1d1a41434  setup_9.x" | sha1sum -c - 
    &&  bash  setup_9.x 
    && rm -rf setup_9.x 
    && apt-get -y install libpq-dev imagemagick gsfonts nodejs 
    && gem install bundler 
    && bundle install --without development test --path vendor/bundle   
    && rm -rf /usr/local/bundle/cache/*.gem 
    && apt-get clean  
    && rm -rf /var/lib/apt/lists/* /tmp/* /var/tmp/* 

체크섬을 사용하면 올바른 파일을 다운로드했는지 확인할 수 있습니다.

P: 하지만 파일이 변경되면 빌드가 실패합니다.

AI: 네, 그리고 이상하게도 이것도 장점이에요. 파일이 변경되었음을 알 수 있으며 거기에서 변경된 내용을 확인할 수 있습니다. 그들은 도달할 수 있는 모든 것을 삭제하거나 백도어를 생성하는 스크립트를 추가했다는 사실을 전혀 모릅니다.

교수: 감사합니다. 최종 Dockerfile은 다음과 같습니다.

FROM ruby:2.5.5-stretch

WORKDIR /app
COPY Gemfile* /app

RUN curl -sL https://deb.nodesource.com/setup_9.x > setup_9.x 
    && echo "958c9a95c4974c918dca773edf6d18b1d1a41434  setup_9.x" | sha1sum -c - 
    &&  bash  setup_9.x 
    && rm -rf setup_9.x 
    && apt-get -y install libpq-dev imagemagick gsfonts nodejs 
    && gem install bundler 
    && bundle install --without development test --path vendor/bundle   
    && rm -rf /usr/local/bundle/cache/*.gem 
    && apt-get clean  
    && rm -rf /var/lib/apt/lists/* /tmp/* /var/tmp/* 

COPY . /app
RUN rake assets:precompile

CMD ["bundle”, “exec”, “passenger”, “start"]

교수: Igor Ivanovich님, 도와주셔서 감사합니다. 이제 달려야 할 시간입니다. 오늘은 10개의 커밋을 더 해야 합니다.

성급한 동료를 시선으로 멈추게 한 이고르 이바노비치는 진한 커피를 한 모금 마신다. 99.9% SLA와 버그 없는 코드에 대해 몇 초 동안 생각한 후 그는 질문을 합니다.

AI: 로그는 어디에 저장하나요?

P: 물론, Production.log에 있습니다. 그건 그렇고, 그렇습니다. 하지만 SSH 없이 어떻게 액세스할 수 있습니까?

AI: 파일에 남겨두면 이미 솔루션이 개발된 것입니다. docker exec 명령을 사용하면 컨테이너의 모든 명령을 실행할 수 있습니다. 예를 들어 로그에 대해 cat을 실행할 수 있습니다. 그리고 열쇠를 이용해서 -그것 bash(컨테이너에 설치된 경우)를 실행하면 컨테이너에 대한 대화형 액세스가 제공됩니다.

하지만 로그를 파일에 저장하면 안 됩니다. 최소한 이는 컨테이너의 통제할 수 없는 증가로 이어지며 아무도 로그를 회전하지 않습니다. 모든 로그는 stdout으로 전송되어야 합니다. 거기에서 명령을 사용하여 이미 볼 수 있습니다 도커 로그.

P: Igor Ivanovich, 로그를 마운트된 디렉터리, 물리적 노드에 사용자 데이터로 넣을 수 있을까요?

AI: 노드의 디스크에 로드된 데이터를 제거하는 것을 잊지 않은 것이 좋습니다. 로그를 통해서도 이 작업을 수행할 수 있습니다. 단, 순환을 설정하는 것을 잊지 마세요.
그게 다야, 당신은 달릴 수 있습니다.

교수: Igor Ivanovich, 무엇을 읽어야 할지 조언해 주실 수 있나요?

AI: 먼저 읽어 보세요. Docker 개발자의 권장 사항, 그들보다 Docker를 더 잘 아는 사람은 거의 없습니다.

그리고 인턴십을 하고 싶다면 다음으로 가세요. 강한. 결국, 실천이 없는 이론은 죽은 것입니다.

출처 : habr.com