Jei pradedate tyrinėti lengvosios virtualizacijos pasaulį, tikriausiai esate matę daug vadovų, kurie, atrodo, skirti NASA inžinieriams. Realybė tokia, kad nustatyti namų serverį Programų valdymas VPS serveryje nebūtinai turi būti galvos skausmas, jei suprantate pagrindus ir laikotės aiškios metodologijos, ypač jei naudojate tokias distribucijas kaip „Ubuntu“ ar „Debian“.
„Docker“ atėjo išgelbėti mūsų gyvybių, pašalindamas legendinę problemą "Mano mašinoje veikia"Apjungdami kiekvieną paslaugą su jos bibliotekomis ir priklausomybėmis, sukuriame nuoseklią aplinką ir išvengiame konfliktų tarp programų, leisdami mums diegti viską – nuo failų serverio iki namų automatizavimo sistemos – nebijant sugadinti pagrindinės operacinės sistemos.
Kas tiksliai yra „Docker“ ir kodėl turėtumėte jį naudoti?
Iš esmės „Docker“ yra platforma, leidžianti kurti izoliuotos aplinkos, vadinamos konteineriaisSkirtingai nuo tradicinių virtualių mašinų, kurioms kiekvienam egzemplioriui reikalinga visa operacinė sistema, konteineriai dalijasi pagrindinės sistemos branduoliu. Tai leidžia jiems neįtikėtinai lengvas ir greitai pradėti.
Privalumai akivaizdūs: jūs turite itin greitas įdiegimas Paslaugos, visiškas izoliavimas, neleidžiantis vienos programos gedimui paveikti kitų, ir nuostabus perkeliamumas. Nesvarbu, ar naudojate „Intel NUC“ namuose, ar galingą VPS su NVMe saugykla, programa veiks lygiai taip pat.
Būtinos sąlygos ir sistemos paruošimas
Kad viskas veiktų sklandžiai, jums reikia „Linux“ serverio (nors jis taip pat veikia „Windows“ ir „Mac“ sistemose naudojant „Docker Desktop“ sistemoje „Windows“ ir „macOS“). Jei naudojate tokią aplinką kaip Ubuntu serveris 24.04LTS arba „Debian“, būsite teisingame kelyje. Kalbant apie aparatinę įrangą, su 2 GB RAM ir 5 GB vietos diske Paprastai to daugiau nei pakanka pradžiai, jei branduolio versija yra 3.10 ar naujesnė.
Prieš pradedant dirbti su „Docker“, būtina išvalyti sistemą. Jei naudojate naują kompiuterį, įsitikinkite, kad turite sudo įjungtas kad nereikėtų nuolat dirbti kaip root vartotojui, o tai yra bloga saugumo praktika. Taip pat rekomenduojama atnaujinti visus sistemos paketus su sudo apt update && sudo apt upgrade -y vengti suderinamumo konfliktai.
Žingsnis po žingsnio „Docker Engine“ diegimas „Linux“ sistemoje
Norint patikimiausiai įdiegti „Docker“, geriausia naudoti oficiali saugyklaPirmiausia įdiekite reikalingas priklausomybes, pvz. curl y ca-certificatesToliau turite pridėti Docker GPG raktasTai labai svarbu, kad sistema galėtų patikrinti, ar atsisiųsta programinė įranga yra autentiška ir ar jos nepažeidė trečiosios šalys.
Kai saugykla sukonfigūruota, tęskite variklio diegimą su sudo apt install docker-ce docker-ce-cli containerd.io. Nepamiršk įjungti paslaugą kad jis būtų paleistas automatiškai, kai mašina pradeda naudoti komandą systemctl enable dockerJei mėgstate nerašyti sudo Kiekvieną kartą paleisdami komandą, galite pridėti savo vartotoją prie Docker grupėNepamirškite atsijungti ir vėl prisijungti, kad pakeitimai įsigaliotų.
Tiems, kuriems reikia valdyti kelias paslaugas vienu metu (pvz., „Pi-hole“, „Nextcloud“ ar „Jellyfin“), įdiegus Docker Composite įskiepis Tai privaloma. Šis įrankis leidžia jums Diegkite programas naudodami „Docker Composite“ Apibrėžus visą infrastruktūrą viename YAML faile, kelių konteinerių diegimas tampa vienos komandos užduotimi: docker compose up -d.
Jūsų konteinerių saugumo užtikrinimas
Būtent čia dauguma žmonių klysta. Norint turėti saugią aplinką, pirmiausia reikia sumažinti bazinį vaizdąUžuot naudoję didelius vaizdus, rinkitės versijas slim o Alpine platintojaikurie drastiškai sumažina atakų paviršių, neįtraukdami nereikalingos programinės įrangos.
Vienas profesionalus metodas yra naudoti Daugiapakopiai kūriniaiTai susideda iš patikimo atvaizdo naudojimo kodui kompiliuoti ir tik gauto dvejetainio failo kopijavimo į daug lengvesnį atvaizdą vykdymui, vadovaujantis Docker atvaizdų optimizavimo vadovasTai ne tik taupo vietą, bet ir pašalina kūrimo įrankius kuria užpuolikas galėtų pasinaudoti, jei jam pavyktų patekti į konteinerį.
Kalbant apie prieigos valdymą, niekada nelaikykite slaptažodžių ar API raktų tiesiogiai „Dockerfile“. Naudokite Docker paslaptys arba išorinius įrankius, tokius kaip „HashiCorp Vault“. Be to, būtina, kad konteineriai veiktų su ne root vartotojassukuriant konkretų vartotoją paveikslėlyje, siekiant apriboti teises įsilaužimo atveju.
Tinklo optimizavimas ir išplėstinė priežiūra
Jei planuojate kai kurias savo paslaugas teikti užsienyje, tinklo segmentavimas Tai jūsų geriausias sąjungininkas. Nedėkite visko į numatytąjį tinklą; kurkite pasirinktinius tinklus naudodami docker network create izoliuoti konteinerius. Tokiu būdu, jei viena paslauga būtų pažeista, užpuolikas turėtų daug daugiau sunkumų judėti į šonus link kitų konteinerių.
Kad serveris veiktų sklandžiai, galite naudoti tokius įrankius kaip Trivy arba Snyk kad nuskaitytų vaizduose esančius pažeidžiamumus. Taip pat labai rekomenduojama paleisti „Docker“ suoliukas saugumui, scenarijus, kuris analizuoja jūsų konfigūraciją ir tiksliai nurodo jūsų silpnąsias vietas, remiantis geriausia pramonės praktika.
Galiausiai, nepamirškite šeimininko. Naudokite ugniasienės, tokios kaip UFW Norėdami uždaryti visus nereikalingus prievadus, naudokite SSH rakto autentifikavimą vietoj slaptažodžių. Kiekvieno konteinerio procesoriaus ir atminties išteklių ribojimas padės išvengti nekontroliuojamų procesų arba DoS atakų. Išjunkite visą serverį vidaus.
Norint įvaldyti virtualizaciją naudojant „Docker“, reikia pereiti nuo pagrindinio diegimo prie nuolatinio saugumo požiūrio. Nuo lengvų atvaizdų pasirinkimo ir kelių etapų kompiliavimo iki griežtos tinklo ir vartotojų teisių kontrolės – kiekvienas papildomas sluoksnis apsaugo jūsų infrastruktūrą. Nuolat atnaujindami sistemą ir stebėdami žurnalus, galite valdyti savo paslaugas ramiai, žinodami, kad jūsų serveris yra patikimas, efektyvus ir atsparus galimoms išorinėms grėsmėms.
Aistringas rašytojas apie baitų pasaulį ir technologijas apskritai. Man patinka dalytis savo žiniomis rašydamas, būtent tai ir darysiu šiame tinklaraštyje, parodysiu jums įdomiausius dalykus apie programėles, programinę įrangą, techninę įrangą, technologijų tendencijas ir kt. Mano tikslas – padėti jums paprastai ir smagiai naršyti skaitmeniniame pasaulyje.