Successfully reported this slideshow.
We use your LinkedIn profile and activity data to personalize ads and to show you more relevant ads. You can change your ad preferences anytime.
DockerとPodmanの比較
日本電信電話株式会社
ソフトウェアイノベーションセンタ
須田 瑛大
Container Runtime Meetup (2021/1/28)
1
Copyright 2021 NTT CORPORATION
自己紹介
色々なコンテナ関連OSSのメンテナ (コミッタ)
• Moby (OSS版Docker), BuildKit, containerd, runc
• RootlessK...
2
Copyright 2021 NTT CORPORATION
Podmanとは
• Docker互換のコンテナエンジン
• RHEL, CentOS, Fedora などに 標準で付属している
• Kubernetesで動いているPodをm...
3
Copyright 2021 NTT CORPORATION
主な比較観点
アーキテクチャ リリースサイクル コミュニティ
CLI API Compose
ネットワーク イメージビルド セキュリティ
技術以外の観点も比較
4
Copyright 2021 NTT CORPORATION
比較するバージョン
• Docker 20.10.2
• Podman 3.0.0-rc1
• RHEL/CentOS 8.3 に付属するバージョンは 2.0
• RHEL 8系...
5
Copyright 2021 NTT CORPORATION
結論から先に
• デーモンを起動しなくても使えるのがPodmanの最大の特徴
• ただし、OS起動時にコンテナも起動するには結局systemdの設定を触る
必要があるので、好みが...
6
Copyright 2021 NTT CORPORATION
比較観点: アーキテクチャ
• Docker はデーモン(dockerd)とクライアント(docker CLI)に分かれ
ており、REST APIで通信する
• Podman は...
7
Copyright 2021 NTT CORPORATION
比較観点: アーキテクチャ
• バッチジョブ型のコンテナを実行する場合は、Podmanの方が使い
やすいかもしれない
• サービス型のコンテナを実行する場合は、DockerでもP...
8
Copyright 2021 NTT CORPORATION
比較観点: アーキテクチャ
• Podmanの方が、ランタイムのバグが顕在化しにくい
• あるコンテナを担当するPodmanプロセスやconmonプロセスが、ク
ラッシュしたりメ...
9
Copyright 2021 NTT CORPORATION
比較観点: アーキテクチャ
ベンチマーク
# docker pull nginx:alpine
# ntimes –n 300 docker run –d nginx:alpin...
10
Copyright 2021 NTT CORPORATION
比較観点: アーキテクチャ
ベンチマーク
# docker pull nginx:alpine
# ntimes –n 300 docker run –d nginx:alpi...
11
Copyright 2021 NTT CORPORATION
比較観点: リリースサイクル
• Docker界隈は新機能のpull requestが投稿されても、マージさ
れ、かつ、リリースが出るまでには時間がかかる
• Podmanの方...
12
Copyright 2021 NTT CORPORATION
比較観点: リリースサイクル
1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q
2019 2020
Docker
19.03
(7月)
Docker
20.10
(12月)
Po...
13
Copyright 2021 NTT CORPORATION
比較観点: コミュニティ
• Docker (の大半) は Docker社を中心とするMoby コミュニティによ
り開発されている ( github.com/moby )
• ...
14
Copyright 2021 NTT CORPORATION
比較観点: コミュニティ
• Red Hat社がDockerに投稿したパッチ
の一部がマージされなかったことが、
Podman発足の背景として挙げられる
• 良くも悪くも、Po...
15
Copyright 2021 NTT CORPORATION
https://merge-chance.info/
比較観点: コミュニティ
2021/1/25 取得
16
Copyright 2021 NTT CORPORATION
あとは細かい話
大きい違いは以上
17
Copyright 2021 NTT CORPORATION
比較観点: CLI
• PodmanのCLIはDockerとほぼ同じ
• 基本的に alias podman=docker して良い
• podman network insp...
18
Copyright 2021 NTT CORPORATION
比較観点: API
• Podman 1.x の API (varlink) はDocker非互換
• Podman 2.0からはDocker REST APIに対応
• po...
19
Copyright 2021 NTT CORPORATION
比較観点: Compose
• かつてのPodmanは、Docker Compose との互換性を追求する
ことに消極的だった
• 複数のコンテナをPodに収めて、Pod内のl...
20
Copyright 2021 NTT CORPORATION
比較観点: Kubernetes マニフェスト
• Podman は名前の通り、Podをfirst classなオブジェクトとして
扱える
• Pod内のコンテナはnetwor...
21
Copyright 2021 NTT CORPORATION
比較観点: Kubernetes マニフェスト
• podman play kube コマンドで、KubernetesのPodマニフェス
トやDeploymentマニフェストを...
22
Copyright 2021 NTT CORPORATION
比較観点: Kubernetes マニフェスト
• 結局、Podman で Pod を扱う場面は多くはない
• 個人的には “Podman” は いい名前ではないと思う
23
Copyright 2021 NTT CORPORATION
比較観点: ネットワーク
• Docker は libnetwork を使うのに対し、Podman は
Kubernetes と同様に CNI (Container Netwo...
24
Copyright 2021 NTT CORPORATION
比較観点: ネットワーク
• ただし、Podman ではカスタムネットワーク間の通信が隔離され
ないので、カスタムネットワークを作る意味があまりない (Podman
3.0rc...
25
Copyright 2021 NTT CORPORATION
比較観点: イメージビルド
• Docker は BuildKit を使うのに対し、Podman は Buildah を
使う
• Buildah は BuildKit に比べ...
26
Copyright 2021 NTT CORPORATION
比較観点: イメージビルド
• Podman向けに複雑なイメージをビルドする際は、BuildKitの
buildctl コマンド を使うのが良さそう (Docker不要)
$ ...
27
Copyright 2021 NTT CORPORATION
比較観点: セキュリティ [Rootless]
• Dockerも Podmanも Rootless モード に対応している
• 非rootでコンテナランタイムを実行することで...
28
Copyright 2021 NTT CORPORATION
比較観点: セキュリティ [Rootless]
• Docker 20.10、Podman 2.1以降では機能的にほぼ同等
• Docker 19.03以前のRootlessで...
29
Copyright 2021 NTT CORPORATION
比較観点: その他
• Docker Swarm に相当する機能は Podman には無い
• Docker for Mac/Win に相当するプロダクトは Podman には...
30
Copyright 2021 NTT CORPORATION
まとめ
• デーモンを起動しなくても使えるのがPodmanの最大の特徴
• ただし、OS起動時にコンテナも起動するには結局systemdの設定を触る
必要があるので、好みがわか...
31
Copyright 2021 NTT CORPORATION
ありがちな誤解
以下は全て誤解
• 「PodmanはKubernetesが呼び出すランタイムである」
• 「RHEL/CentOS 8 や Fedora ではDockerは動か...
32
Copyright 2021 NTT CORPORATION
誤解「PodmanはKubernetesが呼び出すランタイムである」
• PodmanがmanageするPodは、基本的にKubernetesのPodと
関係ない
• (Vir...
33
Copyright 2021 NTT CORPORATION
誤解「RHEL/CentOS 8 ではDockerは動かないのでPodmanを
使う必要がある」
• RHEL 8 や CentOS 8 には Docker のRPMが含まれな...
34
Copyright 2021 NTT CORPORATION
誤解「Fedora ではDockerは動かないのでPodmanを使う必要
がある」
• Docker 19.03 は Fedora 31以降のデフォルトの構成では動かな
かった...
35
Copyright 2021 NTT CORPORATION
誤解「RootlessコンテナはPodman固有の機能」
• Rootlessコンテナ自体は2013年から存在 (unprivileged LXC)
• 2016年-2017年...
36
Copyright 2021 NTT CORPORATION
誤解「PodmanではDocker Composeは使えない」
• Podman 3.0 ではAPIの互換性が十分に高いので、Docker
Compose をそのまま実行できる...
You’ve finished this document.
Download and read it offline.
Upcoming SlideShare
What to Upload to SlideShare
Next
Upcoming SlideShare
What to Upload to SlideShare
Next
Download to read offline and view in fullscreen.

Share

DockerとPodmanの比較

Download to read offline

Container Runtime Meetup #3 発表資料 (2021/1/28) https://runtime.connpass.com/event/198071/

Related Books

Free with a 30 day trial from Scribd

See all

Related Audiobooks

Free with a 30 day trial from Scribd

See all

DockerとPodmanの比較

  1. 1. DockerとPodmanの比較 日本電信電話株式会社 ソフトウェアイノベーションセンタ 須田 瑛大 Container Runtime Meetup (2021/1/28)
  2. 2. 1 Copyright 2021 NTT CORPORATION 自己紹介 色々なコンテナ関連OSSのメンテナ (コミッタ) • Moby (OSS版Docker), BuildKit, containerd, runc • RootlessKit, slirp4netns (Docker・Podman共通のRootlessコンテナツールキット) • Podmanのリポジトリにもwrite権限を持っている 「Docker/Kubernetes 開発・運用のための セキュリティ実践ガイド」執筆 • Docker/KubernetesだけでなくPodmanも網羅 • https://www.amazon.co.jp/dp/4839970505
  3. 3. 2 Copyright 2021 NTT CORPORATION Podmanとは • Docker互換のコンテナエンジン • RHEL, CentOS, Fedora などに 標準で付属している • Kubernetesで動いているPodをmanageできるわけではない ただしCRI-OのPodの一覧とdiffの表示くらいはできる (podman ps --external, podman diff) $ podman run –p 80:80 –-name nginx docker.io/library/nginx
  4. 4. 3 Copyright 2021 NTT CORPORATION 主な比較観点 アーキテクチャ リリースサイクル コミュニティ CLI API Compose ネットワーク イメージビルド セキュリティ 技術以外の観点も比較
  5. 5. 4 Copyright 2021 NTT CORPORATION 比較するバージョン • Docker 20.10.2 • Podman 3.0.0-rc1 • RHEL/CentOS 8.3 に付属するバージョンは 2.0 • RHEL 8系列にPodman 3.xが入るのはRHEL 8.5以降と思われる
  6. 6. 5 Copyright 2021 NTT CORPORATION 結論から先に • デーモンを起動しなくても使えるのがPodmanの最大の特徴 • ただし、OS起動時にコンテナも起動するには結局systemdの設定を触る 必要があるので、好みがわかれる • リリースサイクルの点ではPodmanが魅力的 • 機能面や性能面では、重要な違いは少ない • 2020年までは色々違っていた • イメージビルドに関してはPodmanはまだ遅れている
  7. 7. 6 Copyright 2021 NTT CORPORATION 比較観点: アーキテクチャ • Docker はデーモン(dockerd)とクライアント(docker CLI)に分かれ ており、REST APIで通信する • Podman は基本的にデーモン無しで動作する • 厳密にはデーモン無しで動作するわけではなく、むしろコンテナ毎 (Pod毎) に小さ いデーモン (conmon) をバックグラウンドで起動する • ホストOS起動時にコンテナを自動的に起動するには、systemd unitをいちいち作 成する必要がある › podman generate systemd <CONTAINER|POD> › podman system boot (unitファイルを1つで済ませる仕組み。Podman 3.1前後で入る見込み #8828 )
  8. 8. 7 Copyright 2021 NTT CORPORATION 比較観点: アーキテクチャ • バッチジョブ型のコンテナを実行する場合は、Podmanの方が使い やすいかもしれない • サービス型のコンテナを実行する場合は、DockerでもPodmanで も、systemdを設定するから手間から逃れられない • どちらの方が使いやすいかは微妙 • コンテナ毎に podman generate systemd しないといけないので、(Podman 3.1がリリースされるまでは)、むしろPodmanの方が不便かもしれない
  9. 9. 8 Copyright 2021 NTT CORPORATION 比較観点: アーキテクチャ • Podmanの方が、ランタイムのバグが顕在化しにくい • あるコンテナを担当するPodmanプロセスやconmonプロセスが、ク ラッシュしたりメモリリークしたりしていても、他のコンテナには影響 しない • Dockerでは live-restore モードを有効化すれば、デーモンの クラッシュによるコンテナへの影響は軽減できるが、完全で はない
  10. 10. 9 Copyright 2021 NTT CORPORATION 比較観点: アーキテクチャ ベンチマーク # docker pull nginx:alpine # ntimes –n 300 docker run –d nginx:alpine Docker: overlay2, runc / Podman: overlay, crun / ホスト: Ubuntu 20.10、CPU 4コア、RAM 8GB 200 250 300 350 400 450 500 550 600 0 50 100 150 200 250 msec N Docker Podman Podmanのほうが若干遅いが、大した差ではない
  11. 11. 10 Copyright 2021 NTT CORPORATION 比較観点: アーキテクチャ ベンチマーク # docker pull nginx:alpine # ntimes –n 300 docker run –d nginx:alpine Docker: overlay2, runc / Podman: overlay, crun / ホスト: Ubuntu 20.10、CPU 4コア、RAM 8GB Docker Podman 平均 275 ms 377 ms 最大 415 ms 576 ms 最小 227 ms 247 ms 標準偏差 23 ms 58 ms 99th パーセンタイル 337 ms 500 ms 95th パーセンタイル 310 ms 465 ms 50th パーセンタイル 273 ms 381 ms
  12. 12. 11 Copyright 2021 NTT CORPORATION 比較観点: リリースサイクル • Docker界隈は新機能のpull requestが投稿されても、マージさ れ、かつ、リリースが出るまでには時間がかかる • Podmanの方がリリースサイクルが格段に早い • コンテナ界隈の新機能を(野良ビルドせずに)試すにはPodman の方が向いていることが多い
  13. 13. 12 Copyright 2021 NTT CORPORATION 比較観点: リリースサイクル 1Q 2Q 3Q 4Q 1Q 2Q 3Q 4Q 2019 2020 Docker 19.03 (7月) Docker 20.10 (12月) Podman 2.2 Podman 2.1 Podman 1.9, 2.0 Podman 1.7, 1.8 Podman 1.6 Podman 1.5 Podman 1.3, 1.4 Podman 1.0-1.2 ※細かいリリース (x.y.zのz) については、Dockerも頻繁にリリースしている
  14. 14. 13 Copyright 2021 NTT CORPORATION 比較観点: コミュニティ • Docker (の大半) は Docker社を中心とするMoby コミュニティによ り開発されている ( github.com/moby ) • Podman はRed Hat社を中心とする github.com/containers コミュ ニティにより開発されている • Docker社が単独でDocker (Moby) を作っているわけではないし、 Red Hat社が単独でPodmanを作っているわけでもない • いずれのコミュニティも、CNCFなどのfoundationには属していない • いずれも大部分がオープンソース (Apache License 2.0) • Docker for Mac/Win はプロプラ部分が多い
  15. 15. 14 Copyright 2021 NTT CORPORATION 比較観点: コミュニティ • Red Hat社がDockerに投稿したパッチ の一部がマージされなかったことが、 Podman発足の背景として挙げられる • 良くも悪くも、Podmanの方がパッチの マージには積極的 https://www.projectatomic.io/docs/docker_patches/
  16. 16. 15 Copyright 2021 NTT CORPORATION https://merge-chance.info/ 比較観点: コミュニティ 2021/1/25 取得
  17. 17. 16 Copyright 2021 NTT CORPORATION あとは細かい話 大きい違いは以上
  18. 18. 17 Copyright 2021 NTT CORPORATION 比較観点: CLI • PodmanのCLIはDockerとほぼ同じ • 基本的に alias podman=docker して良い • podman network inspect など一部のコマンドは出力が非互換
  19. 19. 18 Copyright 2021 NTT CORPORATION 比較観点: API • Podman 1.x の API (varlink) はDocker非互換 • Podman 2.0からはDocker REST APIに対応 • podman system service [--timeout=0] コマンドでDocker互換デーモ ンが起動する (/run/podman/podman.sock) • 2.x では互換性が低かったが、3.0 では ほぼ問題ない • 3.0 でも細かいところは非互換
  20. 20. 19 Copyright 2021 NTT CORPORATION 比較観点: Compose • かつてのPodmanは、Docker Compose との互換性を追求する ことに消極的だった • 複数のコンテナをPodに収めて、Pod内のlocalhostソケット経由で通信さ せることが推奨されていた • Podman 3.0 では、Docker互換APIを通じて docker-compose コマンドをそのまま実行できる # export DOCKER_HOST=unix:///run/podman/podman.sock # docker-compose up
  21. 21. 20 Copyright 2021 NTT CORPORATION 比較観点: Kubernetes マニフェスト • Podman は名前の通り、Podをfirst classなオブジェクトとして 扱える • Pod内のコンテナはnetwork namespace などを共有するので、localhost のソケットで通信できる (サイドカーに便利) • Dockerでも docker run --net=container:<SANDBOX> コマンドで実現 できるが、やや面倒 • KubernetesのPodとは独立している。Kubernetesで動いてい るPodのmanagement とは基本的に関係ない。 • podman ps 、 podman diff などごく一部のコマンドはKubernetes (CRI-O) のPodにも対応
  22. 22. 21 Copyright 2021 NTT CORPORATION 比較観点: Kubernetes マニフェスト • podman play kube コマンドで、KubernetesのPodマニフェス トやDeploymentマニフェストを直接実行できる • が、極めて基本的なマニフェストしか実行できない • Kubernetesのマニフェストをローカルで動かしたい場合は、 kind (Kubernetes-in-Docker) を使う方が良い • Docker、Podman 両対応 • 軽量さでは podman play kube コマンドの方が魅力的ではある
  23. 23. 22 Copyright 2021 NTT CORPORATION 比較観点: Kubernetes マニフェスト • 結局、Podman で Pod を扱う場面は多くはない • 個人的には “Podman” は いい名前ではないと思う
  24. 24. 23 Copyright 2021 NTT CORPORATION 比較観点: ネットワーク • Docker は libnetwork を使うのに対し、Podman は Kubernetes と同様に CNI (Container Network Interface) を 使う • PodmanでもDockerと同様に podman network create コマ ンドでカスタムネットワークを作成できる
  25. 25. 24 Copyright 2021 NTT CORPORATION 比較観点: ネットワーク • ただし、Podman ではカスタムネットワーク間の通信が隔離され ないので、カスタムネットワークを作る意味があまりない (Podman 3.0rc1 現在) • CNI isolation pluginを別途インストールすると、Podman でも ネットワークを隔離できる • https://github.com/AkihiroSuda/cni-isolation • Podman 3.1 か 3.2 ころでデフォルトになることを目指している (#5805)
  26. 26. 25 Copyright 2021 NTT CORPORATION 比較観点: イメージビルド • Docker は BuildKit を使うのに対し、Podman は Buildah を 使う • Buildah は BuildKit に比べるとかなり遅れている印象 • マルチステージDockerfileを並列ビルドできない • RUN --mount=type=(cache|secret|ssh) など最新のDockerfile syntax に対応していない • マルチアーキテクチャイメージを簡単にビルドできない
  27. 27. 26 Copyright 2021 NTT CORPORATION 比較観点: イメージビルド • Podman向けに複雑なイメージをビルドする際は、BuildKitの buildctl コマンド を使うのが良さそう (Docker不要) $ buildctl build ... --output type=oci | podman load foo
  28. 28. 27 Copyright 2021 NTT CORPORATION 比較観点: セキュリティ [Rootless] • Dockerも Podmanも Rootless モード に対応している • 非rootでコンテナランタイムを実行することで、root権限を奪われにくく する技術 • Podman の方がリリースが頻繁なこともあり、Podman固有の 機能と勘違いされがち • 実装自体は連携とりながらほぼ同時期 • いずれもUser Namespaces、RootlessKit、slirp4netns など 共通する技術基盤を使っている
  29. 29. 28 Copyright 2021 NTT CORPORATION 比較観点: セキュリティ [Rootless] • Docker 20.10、Podman 2.1以降では機能的にほぼ同等 • Docker 19.03以前のRootlessでは docker run の --memory や --cpus が使えなかった • Podman 2.0以前のRootlessでは podman network create できなかった • ただし、Docker Compose は Podman の Rootless では十分 に動かない (Podman 3.0 rc1 現在) • podman network connect が未実装のため • 3.1か、3.2 頃までには動くようにできそう
  30. 30. 29 Copyright 2021 NTT CORPORATION 比較観点: その他 • Docker Swarm に相当する機能は Podman には無い • Docker for Mac/Win に相当するプロダクトは Podman には 無い • ただし、Red Hat Code Ready Containers (ラップトップ用OpenShift) を入れると、Podman も一緒についてくる • Docker for Mac/Win、 Red Hat CRC いずれともプロプライエタリな部 分が大きい
  31. 31. 30 Copyright 2021 NTT CORPORATION まとめ • デーモンを起動しなくても使えるのがPodmanの最大の特徴 • ただし、OS起動時にコンテナも起動するには結局systemdの設定を触る 必要があるので、好みがわかれる • リリースサイクルの点ではPodmanが魅力的 • 機能面や性能面では、重要な違いは少ない • 2020年までは色々違っていた • イメージビルドに関してはPodmanはまだ遅れている
  32. 32. 31 Copyright 2021 NTT CORPORATION ありがちな誤解 以下は全て誤解 • 「PodmanはKubernetesが呼び出すランタイムである」 • 「RHEL/CentOS 8 や Fedora ではDockerは動かないので Podmanを使う必要がある」 • 「RootlessコンテナはPodman固有の機能」 • 「PodmanではDocker Composeは使えない」 補足資料
  33. 33. 32 Copyright 2021 NTT CORPORATION 誤解「PodmanはKubernetesが呼び出すランタイムである」 • PodmanがmanageするPodは、基本的にKubernetesのPodと 関係ない • (Virtual Kubelet を使えばPodmanのPodをKubernetesでオーケストレー トできるが、POC留まり) • PodmanはKubernetesのランタイムであるとする言説を散見す るが、おそらく CRI-O と混同している • Podman とコードや主要開発者が重なっている • CRI-O は Docker ではなく containerd と競合する 補足資料
  34. 34. 33 Copyright 2021 NTT CORPORATION 誤解「RHEL/CentOS 8 ではDockerは動かないのでPodmanを 使う必要がある」 • RHEL 8 や CentOS 8 には Docker のRPMが含まれないのは事実 • すなわち、RHEL ユーザへのRed Hat社によるサポートもない • CentOS 8 には Docker社公式のRPMが提供されている https://download.docker.com/linux/centos/8/ • CentOS 8 とバイナリ互換性がある他のOSでもおそらく動作する 補足資料
  35. 35. 34 Copyright 2021 NTT CORPORATION 誤解「Fedora ではDockerは動かないのでPodmanを使う必要 がある」 • Docker 19.03 は Fedora 31以降のデフォルトの構成では動かな かった • Docker 20.10 は cgroup v2 に対応したので、Fedoraでもデフォ ルトで動く • Fedoraが配布しているパッケージは19.03で止まっている • Docker社が配布しているパッケージは20.10対応 (https://get.docker.com) • Fedora 34リリース時には、Fedoraからも20.10が配布されるはず 補足資料
  36. 36. 35 Copyright 2021 NTT CORPORATION 誤解「RootlessコンテナはPodman固有の機能」 • Rootlessコンテナ自体は2013年から存在 (unprivileged LXC) • 2016年-2017年にはruncのRootlessが実現 • 2018年にはcontainerd、BuildKit、imgのRootlessが実現 • 続いて、PodmanやDockerのRootlessも実現 • Red Hatや弊社で連携とりながら、ほぼ同時期に実装 • Docker関連リポジトリのpull requestのマージやリリースに時間がかかって いる間に、PodmanがRootlessコンテナの代表として認知されるようになった 補足資料
  37. 37. 36 Copyright 2021 NTT CORPORATION 誤解「PodmanではDocker Composeは使えない」 • Podman 3.0 ではAPIの互換性が十分に高いので、Docker Compose をそのまま実行できる • export DOCKER_HOST=unix:///run/podman/podman.sock してから docker-compose コマンドを実行するだけ • Podman Compose という独自実装もある https://github.com/containers/podman-compose • 古いバージョンのPodmanにも対応 補足資料
  • ssuser08ce58

    Sep. 26, 2021
  • KenTakehara

    Jun. 25, 2021
  • MitsuhiroFukuro

    Jun. 21, 2021
  • NakamuraYoshitoshi

    Jun. 20, 2021
  • yasufumic

    Jun. 8, 2021
  • Nakaiyuichi

    Jun. 1, 2021
  • YujiOkazawa

    Feb. 9, 2021
  • ssuserc20f4e

    Feb. 6, 2021
  • chambo_8940n

    Jan. 28, 2021

Container Runtime Meetup #3 発表資料 (2021/1/28) https://runtime.connpass.com/event/198071/

Views

Total views

17,383

On Slideshare

0

From embeds

0

Number of embeds

13,896

Actions

Downloads

43

Shares

0

Comments

0

Likes

9

×