Docker, z Dockerem, o Dockerze, Docker to, Docker tamto, Docker na prezydenta. Strach otworzyć lodówkę. Ale co to właściwie jest i czy może być przydatne dla zwykłego, poczciwego programisty? Podczas prezentacji dowiesz się jak zacząć swoją przygodę z tą technologią a przy okazji trochę o kontenerach, ich podstawach, wydajności i bezpieczeństwie oraz całym ekosystemie.

1. Docker
Przewodnik dla początkujących
Marcin Stożek

2. Plan działania
Ogólnie
Architektura
Ekosystem
Kontrowersje

4. Ogólnie

5. Docker - kto to co to
Implementuje wysokopoziomowe API do
uruchamiania izolowanych procesów
www.docker.com
github.com/docker/docker

6. Hello world!
$ docker run hello-world
Unable to find image 'hello-world:latest' locally
latest: Pulling from library/hello-world
c04b14da8d14: Pull complete
Digest: sha256:0256e8a36e2070f7bf2d0b0763dbabdd67798512411de4cdcf9431a1feb60fd9
Status: Downloaded newer image for hello-world:latest
Hello from Docker!
This message shows that your installation appears to be working correctly.
To generate this message, Docker took the following steps:
1. The Docker client contacted the Docker daemon.
2. The Docker daemon pulled the "hello-world" image from the Docker Hub.
3. The Docker daemon created a new container from that image which runs the
executable that produces the output you are currently reading.
4. The Docker daemon streamed that output to the Docker client, which sent it
to your terminal.
To try something more ambitious, you can run an Ubuntu container with:
$ docker run -it ubuntu bash
Share images, automate workflows, and more with a free Docker Hub account:
https://hub.docker.com
For more examples and ideas, visit:
https://docs.docker.com/engine/userguide/

7. Obrazek: http://bit.ly/2drqhTB​

8. Dla kogo ta technologia?
Programistów
Pełna kontrola nad bibliotekami systemowymi
Propozycja uruchomienia aplikacji
Administratorów
Proste uruchomienie wielu izolowanych aplikacji
Programy dostarczane jako demony
Niezmienność infrastruktury

9. Historia
1979 - Unix - chroot
2000 - FreeBSD - jail
2000 - Linux, Windows - Virtuozzo
2001 - Linux - VServer
2004 - Solaris - Zones
2004 - Windows - Sandboxie
2005 - Linux - OpenVZ
2007 - AIX, HP-UX
2008 - Linux - LXC
2013 - Linux - Docker
koło na nowo :)
Wiki:
Odkrywamy
Operating system level virtualization

10. Kontenery
Kernel: Control Groups,
Layers, Namespaces
( )Linux oraz Windows
Wirtualizacja
Różne systemy (Windows,
Linux) i architektury (32/64
bity)
Obrazki: docker.com/what-docker

11. Dokumentacja
Jest świetna
Zawiera :]
Oraz
tutorial
wykaz podstawowych komend
https://docs.docker.com/

12. Architektura

13. Pojęcia
Demon
Klient
Obraz
Rejestr
Kontener

14. Demon
Demon o nazwie -
uruchomiony tam, gdzie są
uruchomione kontenery.
Linux - początkowo
wspierany
oraz
Mac - dostępny poprzez...
:]
dockerd
jedyny
Windows 10
Windows Server 2016
wirtualizację
Klient
Aplikacja CLI o nazwie -
uruchomiona gdziekolwiek,
komunikuje się z demonem.
Podstawowy interfejs
użytkownika.
Binarki dla Linuksa, Maca i
Windowsa.
docker

15. Obrazy
Obraz to szablon dla kontenera
Tylko do odczytu
Mieszkają w lokalnym cache...
... albo w rejestrze
Można tworzyć swoje obrazy
lub bazować na już istniejących
dostępne dla obrazów:
build, commit, tag, history, load, save...
Akcje

16. Źródło: docker.com/what-docker

17. Obrazy - Dockerfile
Dockerfile to przepis na obraz
(na przykład taki z )Javą w środku
$ cat Dockerfile
FROM openjdk:8
MAINTAINER perk <@marcinstozek>
ENV ENVIRONMENT=production
COPY app.jar /
ENTRYPOINT ["java", "-jar", "app.jar"]
$ docker build . --tag my-app:1.0.0
Sending build context to Docker daemon 2.56 kB
Step 1 : FROM openjdk:8
---> 96cddf5ae9f1
Step 2 : MAINTAINER perk <@marcinstozek>
---> Using cache
---> 39d368002a6d
Step 3 : ENV ENVIRONMENT production
---> Using cache
---> d9b306b7b8bf
Step 4 : COPY app.jar /
---> 4762e69c1044
Removing intermediate container 18d24885bfac
Step 5 : ENTRYPOINT java -jar app.jar
---> Running in ffeda9429d40
---> 0c96dfd878be
Removing intermediate container ffeda9429d40
Successfully built 0c96dfd878be
$ docker images
my-app 1.0.0 0c96dfd878be 47 seconds ago 640.9 MB

18. Obrazy - UnionFS
każda linia w Dockerfile tworzy warstwę
$ docker images -a
$ tree /var/lib/docker/aufs/diff/... | less

19. Rejestry
Dom dla obrazów (oprócz lokalnego cache)
Oficjalny:
, gotowych do użycia obrazów
publiczne obrazy przechowujemy za darmo
$ docker pull openjdk:8
Własny:
kontrolujemy dostęp do naszych obrazów
brak wielu (nie)zbędnych fajerwerków
Pozostałe opcje: , i
hub.docker.com
dużo oficjalnych
docs.docker.com/registry
Portus Quay wiele innych

20. Kontenery
uruchomiony obraz
samowystarczalność (prawie)
izolacja
jeden proces na kontener ( i )
zajmują mało miejsca na dysku
restart - dane z pamięci są tracone
dostępne dla kontenerów:
run, start, stop, kill, rm, export, pause,
diff...
ale ale
Akcje

21. Kontener z zewnątrz
$ docker run --name my-app-container my-app:1.0.0
Hello JDD 2016 world!
$ docker ps --all --format "table {{.ID}}t{{.Image}}t{{.Status}}t{{.Names}}"
CONTAINER ID IMAGE STATUS NAMES
95316485ab6c my-app:1.0.0 Exited (0) 9 seconds ago my-app-container
$ docker logs my-app-container
Hello JDD 2016 world!
$ docker inspect my-app-container
[
{
"Id": "95316485ab6c0d7fd67912205ee8654f5ffb8161b266dd5c69e2b3d344490f07",
"Created": "2016-10-07T20:11:42.578268726Z",
(...)

22. Kontener od środka
$ docker run -it ubuntu:16.04 /bin/bash
root@24a9ea7f2dba:/# echo Look Ma, I am in the container!
Look Ma, I am in the container!
root@24a9ea7f2dba:/# hostname
24a9ea7f2dba
root@24a9ea7f2dba:/# ifconfig
eth0 Link encap:Ethernet HWaddr 02:42:ac:11:00:02
inet addr:172.17.0.2 Bcast:0.0.0.0 Mask:255.255.0.0
inet6 addr: fe80::42:acff:fe11:2/64 Scope:Link
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
(...)
lo Link encap:Local Loopback
inet addr:127.0.0.1 Mask:255.0.0.0
(...)
$ docker ps --all --format "table {{.ID}}t{{.Image}}t{{.Status}}t{{.Names}}"
CONTAINER ID IMAGE STATUS NAMES
24a9ea7f2dba ubuntu:16.04 Up 5 minutes peaceful_torvalds

23. Yo Dawg
Źródło: blog.docker.com/2013/09/docker-can-now-run-within-docker/

24. Kontenery vs pliki
Pliki mogą być zapisane w kontenerze
$ docker rm container_id - logi, pa pa
Utrzymują dane nawet jeżeli kontener nie
istnieje
Można zmapować zewnętrzny folder
data-only container pattern
--volumes-from container_id
Data Volumes
Data Volume Containers

25. Źródło: docs.docker.com/engine/introduction/understanding-docker/
Czas na powtórkę

26. Zadanie domowe
Uruchamiamy Redisa

27. Bezpieczeństwo
Dostęp do Dockera = dostęp do roota
czyli
Dostęp do Dockera = dostęp do roota
wspominałem już o ?
Temat rzeka :]
Docker Bench Security
Dostęp do Dockera = dostęp do roota
wszyscy w grupie docker
tym
CIS Docker Benchmark
Docker Bench Security

28. Ekosystem

29. Zarządzanie kontenerami
Jeden kontener łatwo odpalić, a 2000?
A na wielu komputerach?
A gdy nie interesuje mnie na którym konkretnie?
A co, gdy w ogóle nie interesuje mnie "system",
nie mam serwerów i chcę tylko odpalić kontener?
I najlepiej, żeby wszystko mogło się ze sobą
komunikować bez mojej ingerencji

30. Ze stajni Dockera
przepis na kontener
aplikacje wielokontenerowe
klastrowanie, rozproszony Demon
serwisy + równoważenie obciążenia
uwaga na !=
wirtualna maszyna z Dockerem
Docker Compose
Docker Swarm Mode
standalone built-in
Docker Machine

31. Inne rozwiązania
PaaS
, , ...
, , ,
...
CoreOS
rkt
Distributed Trusted Computing
Kubernetes
Dokku Deis
scalingo.com Amazon ECS Google CE Azure
CS
awesome-docker

32. Kontrowersje

33. Haters gonna hate, but...
Nietrudno je znaleźć
Główne zarzuty:
uber root demon
... który miesza w sieci hosta
debugowanie aplikacji
bezpieczeństwo (m.in. HUB)
www.boycottdocker.org
iops.io/blog/docker-hype

34. Pytania

35. Dziękuję za uwagę!
Marcin Stożek "Perk"
/ @marcinstozek perk.pl