🥇डॉकर: हानिकारक सल्ला नाही

माझ्या लेखाच्या टिप्पण्यांमध्ये डॉकर: वाईट सल्ला त्यात वर्णन केलेली डॉकरफाईल इतकी भयंकर का आहे हे स्पष्ट करण्यासाठी अनेक विनंत्या होत्या.

मागील भागाचा सारांश: दोन डेव्हलपर एक घट्ट डेडलाइन अंतर्गत डॉकरफाइल तयार करतात. प्रक्रियेत, ऑप्स इगोर इवानोविच त्यांच्याकडे येतो. परिणामी डॉकरफाईल इतकी वाईट आहे की एआय हृदयविकाराच्या मार्गावर आहे.

आता या डॉकरफाइलमध्ये काय चूक आहे ते शोधूया.

तर, एक आठवडा उलटला.

देव पेट्या एका कप कॉफीवर जेवणाच्या खोलीत Ops इगोर इव्हानोविचला भेटतो.

पी: इगोर इव्हानोविच, तू खूप व्यस्त आहेस? आम्ही कुठे चुकलो ते मला शोधून काढायचे आहे.

AI: हे चांगले आहे, शोषणात स्वारस्य असलेल्या विकासकांना तुम्ही सहसा भेटत नाही.
प्रथम, आपण काही गोष्टींवर सहमत होऊ या:

डॉकर विचारधारा: एक कंटेनर - एक प्रक्रिया.
कंटेनर जितका लहान असेल तितका चांगला.
आपण कॅशेमधून जितके जास्त घ्याल तितके चांगले.

P: एका कंटेनरमध्ये एक प्रक्रिया का असावी?

AI: डॉकर, कंटेनर सुरू करताना, pid 1 सह प्रक्रियेच्या स्थितीचे निरीक्षण करतो. प्रक्रिया संपल्यास, डॉकर कंटेनर पुन्हा सुरू करण्याचा प्रयत्न करतो. समजा तुमच्याकडे कंटेनरमध्ये अनेक ऍप्लिकेशन्स चालू आहेत किंवा मुख्य ऍप्लिकेशन pid 1 सह चालत नाही. प्रक्रिया संपल्यास, डॉकरला त्याबद्दल माहिती असणार नाही.

तुम्हाला आणखी काही प्रश्न नसल्यास, कृपया आम्हाला तुमची डॉकरफाइल दाखवा.

आणि पेट्याने दाखवले:

FROM ubuntu:latest

# Копируем исходный код
COPY ./ /app
WORKDIR /app

# Обновляем список пакетов
RUN apt-get update 

# Обновляем пакеты
RUN apt-get upgrade

# Устанавливаем нужные пакеты
RUN apt-get -y install libpq-dev imagemagick gsfonts ruby-full ssh supervisor

# Устанавливаем bundler
RUN gem install bundler

# Устанавливаем nodejs используется для сборки статики
RUN curl -sL https://deb.nodesource.com/setup_9.x | sudo bash -
RUN apt-get install -y nodejs

# Устанавливаем зависимости
RUN bundle install --without development test --path vendor/bundle

# Чистим за собой кэши
RUN rm -rf /usr/local/bundle/cache/*.gem 
RUN apt-get clean 
RUN rm -rf /var/lib/apt/lists/* /tmp/* /var/tmp/* 
RUN rake assets:precompile
# Запускаем скрипт, при старте контейнера, который запустит все остальное.
CMD ["/app/init.sh"]

AI: अरे, ते क्रमाने घेऊ. चला पहिल्या ओळीने सुरुवात करूया:

FROM ubuntu:latest

तुम्ही टॅग घ्या latest. टॅग वापरणे latest अप्रत्याशित परिणामांकडे नेतो. कल्पना करा, प्रतिमा देखभालकर्ता वेगळ्या सॉफ्टवेअरच्या सूचीसह प्रतिमेची नवीन आवृत्ती तयार करतो, या प्रतिमेला नवीनतम टॅग प्राप्त होतो. आणि तुमचा कंटेनर, उत्कृष्टपणे, बांधकाम थांबवतो आणि सर्वात वाईट म्हणजे, तुम्हाला बग्स सापडतात जे आधी अस्तित्वात नव्हते.

तुम्ही भरपूर अनावश्यक सॉफ्टवेअरसह पूर्ण OS असलेली प्रतिमा घेता, ज्यामुळे कंटेनरचा आवाज वाढतो. आणि जितके अधिक सॉफ्टवेअर, तितके अधिक छिद्र आणि भेद्यता.

याव्यतिरिक्त, प्रतिमा जितकी मोठी असेल तितकी ती होस्टवर आणि रेजिस्ट्रीमध्ये अधिक जागा घेते (तुम्ही कुठेतरी प्रतिमा संग्रहित करता)?

पी: होय, नक्कीच, आमच्याकडे एक नोंदणी आहे, तुम्ही ती सेट करा.

AI: मग, मी कशाबद्दल बोलत आहे?... अरे हो, व्हॉल्यूम... नेटवर्कवरील लोड देखील वाढत आहे. एका प्रतिमेसाठी हे लक्षात येण्यासारखे नाही, परंतु जेव्हा सतत बिल्ड, चाचण्या आणि तैनाती असते तेव्हा ते लक्षात येते. आणि जर तुमच्याकडे AWS वर देवाचा मोड नसेल, तर तुम्हाला कॉस्मिक बिल देखील मिळेल.

म्हणून, आपल्याला अचूक आवृत्ती आणि किमान सॉफ्टवेअरसह सर्वात योग्य प्रतिमा निवडण्याची आवश्यकता आहे. उदाहरणार्थ, घ्या: FROM ruby:2.5.5-stretch

पी: अरे, मी पाहतो. मी उपलब्ध प्रतिमा कसे आणि कुठे पाहू शकतो? मला कोणत्याची गरज आहे हे मला कसे कळेल?

AI: सहसा प्रतिमा यावरून घेतल्या जातात डॉकरहब, पॉर्नहबमध्ये गोंधळ करू नका :). प्रतिमेसाठी सहसा अनेक असेंब्ली असतात:
अल्पाइन: प्रतिमा किमान लिनक्स प्रतिमेवर संकलित केल्या जातात, फक्त 5 MB. त्याचे नुकसान: ते स्वतःच्या libc अंमलबजावणीसह संकलित केले आहे, मानक पॅकेजेस त्यात कार्य करत नाहीत. आवश्यक पॅकेज शोधणे आणि स्थापित करणे खूप वेळ घेईल.
स्क्रॅच: मूळ प्रतिमा, इतर प्रतिमा तयार करण्यासाठी वापरली जात नाही. हे केवळ बायनरी, तयार डेटा चालवण्यासाठी आहे. बायनरी ऍप्लिकेशन्स चालवण्यासाठी आदर्श ज्यामध्ये तुम्हाला आवश्यक असलेल्या प्रत्येक गोष्टीचा समावेश आहे, जसे की GO ऍप्लिकेशन.
Ubuntu किंवा Debian सारख्या कोणत्याही OS वर आधारित. बरं, मला समजावून सांगण्याची गरज वाटत नाही.

AI: आता आम्हाला सर्व अतिरिक्त स्थापित करण्याची आवश्यकता आहे. पॅकेजेस आणि कॅशे साफ करा. आणि आपण ते लगेच फेकून देऊ शकता apt-get अपग्रेड. अन्यथा, प्रत्येक बिल्डसह, मूळ प्रतिमेचा निश्चित टॅग असूनही, भिन्न प्रतिमा प्राप्त केल्या जातील. इमेजमधील पॅकेजेस अपडेट करणे हे मेंटेनरचे काम आहे आणि ते टॅग बदलण्यासोबत आहे.

पी: होय, मी ते करण्याचा प्रयत्न केला, ते असे झाले:

WORKDIR /app
COPY ./ /app

RUN curl -sL https://deb.nodesource.com/setup_9.x | bash - 
    && apt-get -y install libpq-dev imagemagick gsfonts ruby-full ssh supervisor nodejs 
    && gem install bundler 
    && bundle install --without development test --path vendor/bundle

RUN rm -rf /usr/local/bundle/cache/*.gem 
    && apt-get clean  
    && rm -rf /var/lib/apt/lists/* /tmp/* /var/tmp/*

AI: वाईट नाही, पण काम करण्यासारखे काहीतरी आहे. पहा, ही आज्ञा आहे:

RUN rm -rf /usr/local/bundle/cache/*.gem 
    && apt-get clean  
    && rm -rf /var/lib/apt/lists/* /tmp/* /var/tmp/*

... अंतिम प्रतिमेतून डेटा हटवत नाही, परंतु केवळ या डेटाशिवाय अतिरिक्त स्तर तयार करते. बरोबर असे:

RUN curl -sL https://deb.nodesource.com/setup_9.x | bash - 
    && apt-get -y install libpq-dev imagemagick gsfonts nodejs 
    && gem install bundler 
    && bundle install --without development test --path vendor/bundle   
    && rm -rf /usr/local/bundle/cache/*.gem 
    && apt-get clean  
    && rm -rf /var/lib/apt/lists/* /tmp/* /var/tmp/*

पण एवढेच नाही. तुझ्याकडे काय आहे, रुबी? मग तुम्हाला सुरुवातीला संपूर्ण प्रोजेक्ट कॉपी करण्याची गरज नाही. Gemfile आणि Gemfile.lock कॉपी करणे पुरेसे आहे.

या दृष्टिकोनासह, प्रत्येक स्रोत बदलासाठी बंडल स्थापना कार्यान्वित केली जाणार नाही, परंतु केवळ Gemfile किंवा Gemfile.lock बदलले असल्यास.

अवलंबित्व व्यवस्थापकासह इतर भाषांसाठी समान पद्धती कार्य करतात, जसे की npm, pip, संगीतकार आणि इतर अवलंबनांच्या सूचीसह फाइलवर आधारित.

आणि शेवटी, लक्षात ठेवा की सुरुवातीला मी डॉकर विचारसरणीबद्दल बोललो होतो “एक कंटेनर - एक प्रक्रिया”? याचा अर्थ पर्यवेक्षकाची गरज नाही. त्याच कारणांसाठी तुम्ही systemd इंस्टॉल करू नये. मूलत:, डॉकर स्वतः एक पर्यवेक्षक आहे. आणि जेव्हा तुम्ही त्यात अनेक प्रक्रिया चालवण्याचा प्रयत्न करता, तेव्हा हे एका पर्यवेक्षक प्रक्रियेत अनेक अनुप्रयोग चालवण्यासारखे आहे.
इमारत बांधताना, तुम्ही एकच प्रतिमा तयार कराल आणि नंतर आवश्यक संख्येने कंटेनर लाँच कराल जेणेकरून प्रत्येकामध्ये एक प्रक्रिया चालेल.

पण त्याबद्दल नंतर अधिक.

P: मला वाटते की मला समजले आहे. काय होते ते पहा:

FROM ruby:2.5.5-stretch

WORKDIR /app
COPY Gemfile* /app

RUN curl -sL https://deb.nodesource.com/setup_9.x | bash - 
    && apt-get -y install libpq-dev imagemagick gsfonts nodejs 
    && gem install bundler 
    && bundle install --without development test --path vendor/bundle   
    && rm -rf /usr/local/bundle/cache/*.gem 
    && apt-get clean  
    && rm -rf /var/lib/apt/lists/* /tmp/* /var/tmp/* 

COPY . /app
RUN rake assets:precompile

CMD ["bundle”, “exec”, “passenger”, “start"]

कंटेनर सुरू करताना आपण डिमनचे प्रक्षेपण ओव्हरराइड करू शकतो का?

AI: होय, ते बरोबर आहे. तसे, तुम्ही CMD आणि ENTRYPOINT दोन्ही वापरू शकता. आणि फरक काय आहे हे शोधणे म्हणजे तुमचा गृहपाठ. Habré वर या विषयावर एक चांगला आहे लेख.

तर, चला पुढे जाऊया. तुम्ही नोड इन्स्टॉल करण्यासाठी फाईल डाउनलोड करता, परंतु त्यात तुम्हाला जे हवे आहे ते असेल याची शाश्वती नाही. आम्हाला प्रमाणीकरण जोडण्याची आवश्यकता आहे. उदाहरणार्थ, यासारखे:

RUN curl -sL https://deb.nodesource.com/setup_9.x > setup_9.x 
    && echo "958c9a95c4974c918dca773edf6d18b1d1a41434  setup_9.x" | sha1sum -c - 
    &&  bash  setup_9.x 
    && rm -rf setup_9.x 
    && apt-get -y install libpq-dev imagemagick gsfonts nodejs 
    && gem install bundler 
    && bundle install --without development test --path vendor/bundle   
    && rm -rf /usr/local/bundle/cache/*.gem 
    && apt-get clean  
    && rm -rf /var/lib/apt/lists/* /tmp/* /var/tmp/*

चेकसम वापरून तुम्ही योग्य फाईल डाउनलोड केल्याचे सत्यापित करू शकता.

P: परंतु फाइल बदलल्यास, बिल्ड अयशस्वी होईल.

AI: होय, आणि विचित्रपणे, हे देखील एक प्लस आहे. तुम्हाला कळेल की फाइल बदलली आहे आणि तुम्ही तेथे काय बदलले आहे ते पाहू शकाल. तुम्हाला कधीच माहीत नाही, त्यांनी जोडले, म्हणा, एक स्क्रिप्ट जी पोहोचू शकेल अशा सर्व गोष्टी हटवते किंवा बॅकडोअर तयार करते.

पी: धन्यवाद. असे दिसून आले की अंतिम डॉकरफाइल यासारखे दिसेल:

FROM ruby:2.5.5-stretch

WORKDIR /app
COPY Gemfile* /app

RUN curl -sL https://deb.nodesource.com/setup_9.x > setup_9.x 
    && echo "958c9a95c4974c918dca773edf6d18b1d1a41434  setup_9.x" | sha1sum -c - 
    &&  bash  setup_9.x 
    && rm -rf setup_9.x 
    && apt-get -y install libpq-dev imagemagick gsfonts nodejs 
    && gem install bundler 
    && bundle install --without development test --path vendor/bundle   
    && rm -rf /usr/local/bundle/cache/*.gem 
    && apt-get clean  
    && rm -rf /var/lib/apt/lists/* /tmp/* /var/tmp/* 

COPY . /app
RUN rake assets:precompile

CMD ["bundle”, “exec”, “passenger”, “start"]

पी: इगोर इवानोविच, तुमच्या मदतीबद्दल धन्यवाद. माझ्यासाठी धावण्याची वेळ आली आहे, मला आज आणखी 10 कमिट करावे लागतील.

इगोर इव्हानोविच, त्याच्या घाईगडबडीत सहकाऱ्याला त्याच्या नजरेने थांबवत, मजबूत कॉफीचा एक घोट घेतो. 99.9% SLA आणि बग-मुक्त कोडबद्दल काही सेकंद विचार केल्यानंतर, तो एक प्रश्न विचारतो.

AI: तुम्ही नोंदी कुठे ठेवता?

पी: नक्कीच, production.log मध्ये. तसे, होय, परंतु आम्ही ssh शिवाय त्यांना कसे प्रवेश करू शकतो?

AI: जर तुम्ही त्यांना फाइल्समध्ये सोडले तर तुमच्यासाठी आधीच एक उपाय शोधला गेला आहे. docker exec कमांड तुम्हाला कंटेनरमध्ये कोणतीही कमांड कार्यान्वित करण्यास अनुमती देते. उदाहरणार्थ, आपण लॉगसाठी मांजर करू शकता. आणि की वापरून -हे आणि रनिंग बॅश (कंटेनरमध्ये स्थापित असल्यास) तुम्हाला कंटेनरमध्ये परस्पर प्रवेश देईल.

परंतु आपण फायलींमध्ये लॉग संचयित करू नये. कमीतकमी, यामुळे कंटेनरची अनियंत्रित वाढ होते आणि कोणीही लॉग फिरवत नाही. सर्व नोंदी stdout वर पाठवाव्यात. तेथे ते आधीच कमांड वापरून पाहिले जाऊ शकतात डॉकर लॉग.

पी: इगोर इव्हानोविच, कदाचित मी लॉग्स माउंट केलेल्या निर्देशिकेत, भौतिक नोडवर, वापरकर्ता डेटा म्हणून ठेवू शकतो?

AI: हे चांगले आहे की आपण नोडच्या डिस्कवर लोड केलेला डेटा काढून टाकण्यास विसरला नाही. तुम्ही हे लॉगसह देखील करू शकता, फक्त रोटेशन सेट करण्यास विसरू नका.
तेच आहे, तुम्ही धावू शकता.

पी: इगोर इव्हानोविच, तुम्ही मला काय वाचावे याबद्दल सल्ला देऊ शकता?

AI: प्रथम, वाचा डॉकर विकसकांकडून शिफारसी, त्यांच्यापेक्षा डॉकरला क्वचितच कोणी ओळखत असेल.

आणि जर तुम्हाला इंटर्नशिप मिळवायची असेल तर जा गहन. शेवटी, अभ्यासाशिवाय सिद्धांत मृत आहे.

स्त्रोत: www.habr.com

डॉकर: वाईट सल्ला नाही

एक टिप्पणी जोडा Отменить ответ