Docker простыми словами

🐳 Docker без боли: Огромный гайд от новичка до профи

🚀 Пришло время расставить всё по полочкам. В этом большом гайде ты узнаешь:

• как устроен Docker изнутри
• как упаковать любое приложение в контейнер
• как запускать десятки сервисов одной командой
• как дебажить, оптимизировать и защищать контейнеры
• как не сойти с ума с volumes, networks и образами

🎯 Без скучной теории — только практические команды, схемы и лайфхаки от тех, кто использует Docker в продакшене.
Сохраняй и делись с коллегами, чтобы не потерять

👉 Читать онлайн

🐳 Задача для продвинутых DevOps-инженеров: «Странный Docker контейнер, который тормозит хост»

🧠 Уровень: Senior DevOps / SRE
🎯 Цель: Найти причину деградации хост-системы при работе контейнера, не убивая продакшен

📍 Ситуация:

Ты запускаешь относительно простой контейнер:

docker run --rm myapp:latest

Через несколько минут:
- Уровень load average на хосте резко подскакивает
- CPU не перегружен, но система начинает "подвисать"
- Контейнер *не* использует много CPU или памяти (по `docker stats`)
- top и iotop на хосте — ничего подозрительного
- Но хост "лагает", SSH подключается с задержками, htop еле прокручивается

📦 Контейнер собран из Dockerfile:

FROM ubuntu:22.04
COPY . /app
WORKDIR /app
CMD ["python3", "main.py"]

  🧩 Ваша задача:

1. Объяснить, как контейнер может вызывать *нагрузку на хост*, не показывая это в docker stats
2. Найти потенциальную причину такой деградации
3. Предложить способ отладки, не убивая контейнер
4. Предложить защиту от подобных сценариев на уровне docker run и docker-compose
5. Написать Dockerfile и docker run с ограничениями, чтобы контейнер больше так не вел себя

💡 Подсказка:
Некоторые контейнеры могут порождать *огромное количество процессов* или использовать слишком много I/O операций с tmpfs или сокетами, перегружая не CPU, а системные лимиты ядра.

🛠 Решение:

1. Проверяем количество процессов:

   ps -eLf | wc -l
   

2. Выясняем, что контейнер запускает тысячи потоков (например, while True: os.fork() или Thread() без лимита в main.py)

3. Используем strace`/`nsenter для анализа PID пространства:

   docker inspect <container_id> | grep Pid
   nsenter -t <pid> -a htop
   

4. Ставим лимиты:
- Через --pids-limit:

     docker run --pids-limit 100 --memory=256m --cpus="0.5" myapp:latest
     

- Или в docker-compose.yml:

     deploy:
       resources:
         limits:
           cpus: "0.5"
           memory: 256M
     

5. Добавляем в Dockerfile:

   ENV PYTHONUNBUFFERED=1
   

📌 Вывод:
Контейнеры могут перегружать хост не по CPU/Memory, а по количеству потоков, сокетов, inode или I/O. Это не видно в docker stats, но критично для стабильности. Решение — выставлять ограничения (ulimit, pids, memory) и проверять, что внутри контейнера не бесконечный форк/спам.

💬 Отличный сценарий для продвинутого собеса на DevOps / Platform-инженера.

Docker for Developers

Автор: Richard Bullington-McGuire
Год издания: 2020

#docker #en

Скачать книгу

«Штурвал 2.10»: встречайте поддержку Yandex Cloud и настоящую мультитенантность

10 июня в 17:00 мск встречаемся на обзорном вебинаре по релизу Kubernetes-платформы «Штурвал 2.10». Ребята из «Лаборатории Числитель» расскажут про два самых интересных обновления:

▪️Поддержку провайдера Yandex Cloud — как управлять кластерами в этом облаке так же, как у себя в инфраструктуре.

▪️Появление тенантов — как централизованно управлять доступами на понятных для бизнеса абстракциях, например, таких как «департамент», «система» и «окружение».

Вебинар будет интересен DevOps-инженерам, разработчикам, сотрудникам служб эксплуатации, специалистам по информационной безопасности, руководителям и всем, кто заинтересован в контейнеризации.

✔️ Регистрация

🚀 8 советов и приёмов Docker

1. 🔄 Включите VirtioFS для ускоренной работы с файлами на Mac
Если вы используете Docker на macOS, включите VirtioFS — это современный способ шаринга файлов между хостом и контейнером. Он быстрее традиционного osxfs. Это особенно заметно при работе с Node.js, Golang и другими языками с множеством файлов.

👉 Docker Desktop → Settings → Experimental Features → Enable VirtioFS

2. 🧪 Используйте Docker Scout для анализа уязвимостей
Docker Scout позволяет находить и устранять уязвимости в образах. Он интегрируется с Docker Desktop и CLI, позволяя видеть CVE прямо в терминале:

docker scout cves nginx:latest

3. 🌐Используйте Docker Dev Environments для совместной работы над проектами.

Создавайте и делитесь полностью настроенными dev-средами — вы можете заранее настроить окружение для разработки (dev-среду): установить все необходимые программы, зависимости, настройки и т.д.

Которые можно запускать в один клик — чтобы начать работу, новому разработчику достаточно просто нажать одну кнопку, и у него появится полностью рабочее окружение, как у остальных членов команды.

Отлично для онбординга новых разработчиков — это сильно ускоряет процесс подключения новых людей к проекту: им не надо тратить время на установку и настройку ПО, всё уже готово.

Всё основано на Docker Desktop и Compose — для работы используется программа Docker Desktop и инструмент Docker Compose (описывает, какие контейнеры запускать и как их настраивать).

Пример:
Ты можешь создать dev-среду с нужной версией Python, Node.js, базой данных и всеми зависимостями, сохранить её как dev environment и отправить ссылку коллеге. Он открывает её через Docker Desktop и сразу получает полностью готовую среду — без ручных установок.


4. ☁️ Ускорьте сборку образов с Docker Build Cloud
Docker Build Cloud теперь доступен всем. Это облачная сборка, которая сокращает время билда до 70%. Используйте её в больших проектах и CI/CD.

Ссылка: https://www.docker.com/products/docker-build-cloud/


5. 📦 Расширьте Docker Desktop с помощью Extensions
Можно добавлять расширения — например, для управления контейнерами, базами данных, или даже для генерации кода. Всё через интерфейс Docker Desktop. Можно создавать свои.

6. 🚦 Добавьте HEALTHCHECK в образы
Это поможет отслеживать работоспособность контейнера. Например:

HEALTHCHECK CMD curl --fail http://localhost:3000/health || exit 1

7. 🧰 Используйте docker init для быстрого старта
Команда docker init автоматически создаёт Dockerfile и docker-compose.yml на основе вашего проекта. Быстро, просто, удобно.

docker init

8. 📊 Отслеживайте изменения с помощью docker scout compare
Сравнивайте два образа и смотрите, какие слои, пакеты и уязвимости изменились:

docker scout compare my-image:v1 my-image:v2

💡 Docker Tip: ускоряем сборку с помощью BuildKit + Target Stage

Многие знают про docker build, но редко используют BuildKit + multi-stage с опцией `--target` для локальной отладки.

👉 Если у тебя много стадий (например, build + тесты + production), ты можешь не собирать всё каждый раз, а запускать только нужную стадию:

Пример:

DOCKER_BUILDKIT=1 docker build --target dev-stage -t myapp:dev .

📈 Что это даёт:

- ⚡️ Пропускаешь финальную сборку (например, оптимизацию прод-образа)
- 🔍 Быстро тестируешь только нужный слой (например, dev-stage)
- 💾 Экономишь кэш и ускоряешь сборку — собирается только то, что нужно

🔥 Включи BuildKit по умолчанию

Добавь в файл ~/.docker/config.json:

{
  "features": {
    "buildkit": true
  }
}

Теперь docker build всегда использует BuildKit — он быстрее, лучше кэширует и умеет собирать слои параллельно.

---

🎯 Бонус-совет: кэш зависимостей через RUN --mount=type=cache

Для Python:

RUN --mount=type=cache,target=/root/.cache \
    pip install -r requirements.txt

Для npm:

RUN --mount=type=cache,target=/root/.npm \
    npm install

✅ Это ускоряет повторные билды на десятки процентов 💨

👀 Итог:
Не просто строй Docker-образы — строй их умно. BuildKit + правильные таргеты + кэш → твой билд летает 🚀

🐳 Как устроен Docker: что происходит «под капотом»

Поговорим немного про базу.

Docker — одно из самых популярных средств контейнеризации. Его простота снаружи скрывает сложную архитектуру. Разберём, как он устроен внутри.

1) Что такое контейнер?

Контейнер — изолированная среда, где запускается приложение со всеми зависимостями.
⚠️ Это не виртуальная машина: контейнер делит ядро ОС с хостом, но видит только свою «песочницу» через изоляцию.

2) Основные компоненты

• Docker Engine
– Docker Daemon (dockerd) управляет контейнерами, образами, сетями
– Docker CLI (docker) — интерфейс пользователя
– REST API — взаимодействие CLI и Daemon

👉 Пример: docker run nginx → CLI отправляет запрос, Daemon находит образ, создаёт контейнер, запускает процесс.

3) Namespaces

Механизм изоляции в Linux, создающий для контейнера:

• свой процессный ID (pid namespace)
• файловую систему (mnt namespace)
• сеть (net namespace)
• hostname (uts namespace)
• IPC (ipc namespace)

👉 Благодаря namespace контейнер видит «свою» мини-ОС, хотя на деле — это лишь виртуальные границы.

4) Cgroups

Ограничивают и учитывают ресурсы (CPU, RAM, I/O, сеть).
Пример: можно задать лимит 512 МБ RAM и 0.5 CPU.
Если приложение превышает лимит — Docker его ограничит или остановит.

5) Union File Systems (OverlayFS)

Docker использует многослойную файловую систему. Каждый шаг Dockerfile создаёт новый слой.
При запуске контейнера создаётся верхний writable-слой, остальные read-only.

👉 10 контейнеров на одном образе разделяют слои → экономия места.

6) Container Runtime

Docker использует runc для запуска контейнера (соответствует OCI Runtime Spec).
Daemon вызывает runc, который через clone(), setns(), chroot() изолирует процесс.

7) Docker Images

Образ — read-only слои, собранные в Union FS.
Каждый слой — изменения относительно предыдущего (например, установка пакета → новый слой).
Хранение: локально (/var/lib/docker) или в реестре (Docker Hub, GitLab Container Registry).

8) Docker Networking

Docker создаёт виртуальные сети (bridge, overlay, host).
По умолчанию контейнеры подключаются к bridge и получают IP из внутреннего пула.

👉 Можно пробросить порты через -p, создать собственные сети, объединять контейнеры через docker network connect.

В Swarm используется Overlay network (сеть между хостами).

9) Безопасность

Docker использует:

• seccomp (ограничение системных вызовов)
• AppArmor / SELinux (контроль привилегий)
• user namespaces (отображение UID контейнера в другой UID хоста)

⚠️ По умолчанию контейнеры имеют широкий доступ (например, /proc виден). Для production стоит ограничивать права (например, --cap-drop).

10) Что происходит при `docker run nginx`?

1. CLI отправляет запрос через API
2. Daemon ищет образ (локально или в registry)
3. Создаётся read-write слой контейнера
4. Создаются namespace (pid, net, mnt…)
5. Применяются cgroups
6. Вызывается runc для изоляции процесса
7. Контейнер подключается к сети
8. Запускается ENTRYPOINT/command

Контейнер живёт, пока жив его процесс.

11) Почему Docker — не магия?

Docker использует стандартные возможности ядра Linux (namespaces, cgroups, chroot, seccomp, overlayfs), оборачивая их в удобный интерфейс.

Контейнер — просто изолированный процесс, а не полноценная VM.
Поэтому Docker лёгкий, быстрый, удобный.

12) Заключение

Под капотом Docker:

• namespaces — изоляция
• cgroups — контроль ресурсов
• runc — запуск
• overlayfs — многослойная ФС
• REST API + Daemon + CLI — взаимодействие

Docker скрывает сложность, давая простой инструмент для запуска, сборки, развёртывания приложений.

Теперь, зная внутреннее устройство, можно глубже понять контейнеры, лучше их настраивать и оптимизировать.

➡️ Подробнее

Learning Docker Networking

Автор: Rajdeep Dua
Год издания: 2016

#docker #en #книга

Скачать книгу

Удаление образов в Docker

Знание контейнеров: путь к большим деньгам в ИТ или временный хайп? 💰

19 мая (понедельник) в 18:00 присоединяйтесь к настоящему батлу мнений.

В прямом эфире разработчики контейнерной платформы «Штурвал» вместе с AM Live соберут тех, кто знает индустрию изнутри.

Топовые спикеры обсудят, действительно ли знание Docker и Kubernetes в приоритете нужных навыков или это проходящая мода, которая никак не влияет на успешный карьерный трек?

Основные вопросы дискуссии:
▪️Насколько знания контейнеризации повышают конкурентоспособность и стоимость специалиста на рынке?
▪️Кто сейчас нужен больше — IT-специалист или IT generalist?
▪️Опыт работы с «ванильным» K8s VS с коммерческой платформой: есть ли разница?
▪️Что делать, если Kubernetes вообще не нравится?
▪️Площадки для обучения контейнеризации: норм или стрем?

🔜 Регистрация

Что такое Docker простыми словами