Présentation de Docker
Présentation de Docker
Docker permet de créer des environnements (appelés conteneurs, ou containers en anglais) de manière à isoler des applications. Docker repose sur le kernel Linux et sur une fonctionnalité : les containers, que vous connaissez peut-être déjà sous le nom de LXC. L'idée est d'exécuter un processus (ou plusieurs) dans un environnement isolé. Le conteneur qui accueille votre application aura un système de fichier qui lui est propre (pouvant contenir uniquement les fichiers nécessaires à l'application) et aura accès à certaines ressources du système hôte (mémoire, CPU, réseau). Avec Docker, on va pouvoir très simplement gérer nos différents conteneurs.
Exemple : Mais en pratique, à quoi Docker sert vraiment ?
Un petit exemple d'utilisation très classique nous est donné sur le site de Red Hat
« Imaginons que vous êtes en train de développer une application. Vous travaillez sur un ordinateur portable dont l'environnement présente une configuration spécifique. D'autres développeurs peuvent travailler sur des machines qui présentent des configurations légèrement différentes. L'application que vous développez repose sur cette configuration et dépend de fichiers spécifiques. En parallèle, votre entreprise exploite des environnements de test et de production qui sont standardisés sur la base de configurations qui leur sont propres et de l'ensemble des fichiers associés. Vous souhaitez émuler ces environnements autant que possible localement, mais sans avoir à payer les coûts liés à la recréation des environnements de serveur. Comment faire pour que votre application en développement puisse fonctionner dans ces environnements, passer l'assurance qualité et être déployée sans prise de tête, sans réécriture et sans correctifs ? La réponse est simple : il vous suffit d'utiliser des conteneurs. Le conteneur qui accueille votre application contient toutes les configurations (et les fichiers) nécessaires. Vous pouvez ainsi le déplacer entre les environnements de développement, de test et de production, sans aucun effet secondaire. La crise est évitée, le travail peut continuer. »
(source redhat.com)
Définition : Principes de Docker
Docker permet de créer des conteneurs en se basant sur 3 caractéristiques principales : la reproductibilité, l'isolation et la portabilité. La reproductibilité nous évite le classique "works in my machine" et nous permet d'avoir un même environnement en développement et en production, facilitant la mise en production des livrables. L'isolation, comme nous avons pu le lire plus haut, nous permet d’exécuter nos applications de manière indépendante les unes des autres. Enfin, la portabilité des conteneurs Docker nous permettra d’exécuter nos conteneurs de manière similaire dans des environnements physiques qui peuvent être très différents. Docker est une solution open-source, qui repose sur une grande communauté.
Pourquoi utiliser Docker ?
Pour les développeurs
 | Il est aujourd'hui facile pour un développeur d'utiliser un environnement de travail qui ne correspond pas à l'environnement de production final. Par exemple, un développeur utilisant la version macOS de PHP n'exécutera probablement pas la même version que le serveur Linux hébergeant le code de production. Même si les versions sont identiques. Il faut alors gérer les différences de configuration et d'environnement de la version de PHP, (par exemple les permission sur les fichiers ne sont pas gérés de la même manière entre les deux systèmes d'exploitation). Lorsqu’un développeur doit déployer son code sur les machines de production et que cela ne fonctionne pas; L'environnement de production doit-il être configuré pour correspondre à la machine du développeur, ou les développeurs ne doivent-ils travailler que dans des environnements correspondant aux machines de productions ? Dans un monde idéal, tout devrait être cohérent, de l'ordinateur du développeur aux serveurs de production. Cependant, cette utopie a toujours été difficile à réaliser. Tout le monde a sa propre façon de travailler et ses préférences personnelles. Il est déjà assez difficile d'appliquer la même cohérence sur plusieurs plates-formes lorsqu'il s'agit d'un seul ingénieur travaillant sur ses propres systèmes, sans parler d'une équipe d'ingénieurs travaillant avec une équipe potentiellement composée de centaines de développeurs. Docker est une solution à ces problèmes. En créant des "environnements" qui vont suivre le cycle de vie d'une application de son développement à sa mise en production. |
Pour les administrateurs système
 | Prenons l'exemple d'un administrateur système possédant 6VMs pour ses différents services (base de données, serveurs web, load balancer). Dans un premier temps, on lui demande de déployer sur les serveurs web une application qui dépend d'un logiciel quelconque de version 1. Tout se passe bien. Un jour, on lui demande de déployer un module supplémentaire de l'application qui nécessite quant à elle la version 2 du même logiciel. C'est alors qu'un problème se pose. Les applications ne peuvent pas cohabiter sur le même serveur si on les déploie de manière "classique". Que peut-on faire ? - Demander plus de serveurs ? C'est la solution la plus sûre, mais aussi la plus coûteuse. Il n'est pas toujours possible de déployer de nouvelles machines. - Revoir l'architecture en déployant la seconde application sur un autre serveur existant (load balancer ou base de données). Encore une fois cette solution n'est pas optimale, en cas de panne sur un des composants, nous avons deux points de faute au lieu d'un si chaque VM avait son rôle précis. - Essayer d'installer les deux versions du logiciel sur la même machine. C'est sûrement possible et ça semble être un bon "quick win". En revanche, cette solution est difficilement maintenable dans le temps. On peut évoquer l'application des patchs de sécurité qui vont être compliqués à effectuer. Docker permet de faire tourner sur une même machine les deux applications et permet en plus de gérer plus facilement les mises à jour de chaque application de manière indépendante en recréant simplement de nouveaux conteneurs. |
Différences entre conteneurs et VM
Docker isole un environnement comme une VM ?
Maintenant que l'on sait pourquoi Docker a été développé. Nous allons voir comment cela fonctionne sous le capot.
Docker n'est pas fait pour isoler les applications les unes des autres à la manière d'une VM. L'élément clé ici pour bien comprendre est la manière dont un conteneur s'exécute sur le serveur.
Une machine virtuelle, comment son nom l'indique, va simuler (virtualiser) une machine entière. C'est à dire simuler le matériel de la machine sur lequel sera exécuté un système d'exploitation complet (une distribution GNU/Linux, un Windows ou une version de Mac OS). Il n'y aura pas de réelle interaction avec le système hôte, qui se contentera de simuler un autre serveur, plus petit.
Dans le cas de Docker, l'hôte va mettre à disposition ses ressources pour le conteneur, mais celui-ci va directement utiliser des ressources de l'hôte (CPU, RAM, network, etc.). Le conteneur aura un environnement isolé et dédié (avec potentiellement des limitations en ressources), mais ne va pas simuler la totalité d'un serveur ni exécuter un système d'exploitation (et ses nombreux processus).
Avec Docker, il est commun d'imaginer un conteneur par fonctionnalité : base de donnée, service web, gestion des logs, etc. l'ensemble fonctionnant et communiquant ensemble.
Finalement, Docker se présente comme une alternative plus légère que la mise en place de VM. Vous trouverez ci-dessous deux images illustrant leur mode de fonctionnement de base.
Comme on peut le voir sur ce schéma, dans le cadre d'une machine virtuelle classique, chaque VM possède son propre système d'exploitation (Guest OS) contenant lui-même des bibliothèques (bin/lib) qui sont répliquées pour chacune des machines virtuelles.
De fait, les machines virtuelles sont lourdes ; ajoutons à cela le fait qu'elles doivent simuler tous les composants physiques d"une machine. Toute cette architecture de virtualisation consomme beaucoup de ressources pour fonctionner.
Ce schéma nous donne une bonne idée du principal avantage de Docker. Il n'est pas nécessaire de disposer d'un système d'exploitation complet chaque fois que nous devons créer un nouveau conteneur, ce qui réduit la taille globale des conteneurs.
Docker utilise le noyau Linux du système d'exploitation hôte (car presque toutes les versions de Linux utilisent les modèles de noyau standard) pour le système d'exploitation sur lequel il a été créé, telle que Debian, Ubuntu ou CentOS. Pour cette raison, vous pouvez utiliser presque n'importe quel système d'exploitation Linux en tant que système d'exploitation. Il est ainsi possible d'avoir un conteneur CentOS sur une machine Debian.
Un autre avantage de Docker est la taille des images lors de leur création. Ils ne contiennent pas le noyau. Cela les rend incroyablement petits, compacts et faciles à déployer.
Les avantages de la conteneurisation
Faire tourner plusieurs VMs sur un ordinateur (hôte) pour faire plusieurs tâches est possible, mais coûteux car on virtualise un système d'exploitation entier pour chaque application. Avec des conteneurs, il est possible de multiplier les environnements à très faible coût, car seuls les processus spécifiques à nos applications seront exécutés.
Installation de Docker sur Ubuntu
Remarque : La documentation officielle en tant que base
Pour l'installation de Docker, nous allons simplement suivre la documentation officielle de Docker pour Ubuntu, qui manque parfois de clarté mais est un bonne référence.
Avant de commencer l'installation
Avant de commencer l'installation de Docker (ou de n'importe quel paquet d'ailleurs), il est de bonne pratique de mettre à jour la liste des paquets existants.
sudo apt updateIl va désormais être nécessaire d'ajouter les dépôts où se trouve Docker à la liste de nos dépôts, afin que la commande apt puisse aller les chercher. Installons tout d'abord les dépendances :
sudo apt install ca-certificates curl gnupg
Ajouter la clé GPG officielle du repository de Docker, afin de signer les paquets :
sudo install -m 0755 -d /etc/apt/keyrings
curl -fsSL https://download.docker.com/linux/ubuntu/gpg | sudo gpg --dearmor -o /etc/apt/keyrings/docker.gpg
sudo chmod a+r /etc/apt/keyrings/docker.gpg
Dernière étape : mettre en place le repository stable.
echo \"deb [arch="$(dpkg --print-architecture)" signed-by=/etc/apt/keyrings/docker.gpg] https://download.docker.com/linux/ubuntu \
"$(. /etc/os-release && echo "$VERSION_CODENAME")" stable" | \
sudo tee /etc/apt/sources.list.d/docker.list > /dev/null
Installer Docker
Après ces petites manipulations (que nous n'aurons heureusement pas à refaire), on peut enfin commencer à installer Docker
sudo apt updatesudo apt install docker-ce docker-ce-cli containerd.io docker-buildx-plugin docker-compose-pluginEt voilà ! Docker est normalement installé sur notre machine. Confirmons le au plus vite.
Lançons notre premier conteneur !
sudo docker run hello-worldCette commande va télécharger une image de test et l’exécuter dans un conteneur. Lorsque le conteneur sera en exécution, il va afficher un message d'information et quitter.
Conseil :
Par défaut les commandes Docker ne peuvent se lancer qu'avec les droits administrateur. C'est vite contraignant de devoir préfixer ses commandes par sudo. On va donc s'ajouter au groupe docker, ce qui nous permettra d’omettre sudo :
sudo groupadd dockersudo usermod -aG docker $USER
Puis déconnectez - reconnectez vous au serveur pour appliquer le changement de groupe.
Attention :
Ne mettez dans le groupe docker que les utilisateurs à qui vous faites confiance. Il est très facile de se rendre root au travers du groupe docker sans pour autant être dans le groupe sudo.
Images Docker et registry
Images Docker
Dans les exercices précédents, nous avons vu que le système de fichiers dans notre conteneur était différent de celui de l'hôte. Une question se pose alors : d'où vient ce système de fichier ? Tout simplement de ce que l'on appelle une image Docker.
Une image Docker est un template de système de fichiers qui sera utilisé pour démarrer un conteneur. Au démarrage le conteneur va récupérer le système de fichiers de l'image Docker pour l'utiliser, un peu de la même manière qu'une image ISO qui va servir à démarrer un système d'exploitation.
Il est très important de ne pas confondre les concepts de conteneur et d'image. L'image n'est rien de plus qu'un template, un système de fichiers. Le conteneur, lui, utilise une image en tant que template pour se lancer. D'une certaine manière, le conteneur est une instance de l'image, et plusieurs conteneurs peuvent être lancés en se basant sur la même image.
Une image Docker est immutable, elle n'est pas modifiable par un conteneur, son système de fichiers est figé. Celui du conteneur, à l'inverse, est créé au démarrage du conteneur (à partir de l'image) mais peut-être modifié par le conteneur et est éphémère : il est complètement supprimé lorsque l'on arrête le conteneur.
Registry Docker
Docker permet de créer des images qui seront utilisées par nos conteneurs. Ceci sera l'objet d'un prochain cours, pour le moment nous utiliserons seulement des images existantes.
Nous pouvons trouver des images existantes dans le Docker Hub, qui est une registry Docker. Une registry est un serveur qui va tout simplement stocker des images Docker, un peu à la manière d'un serveur Git qui stocke des repositories.
Bien que n'importe qui puisse maintenir sa propre registry, l'entreprise Docker Inc. fournit une registry, qui s'appelle le Docker Hub, dans laquelle on retrouve un très grand nombre d'images déjà existantes. N'importe qui peut pousser une image dans cette registry, mais certaines sont officiellement maintenues par Docker Inc. et/ou par les mainteneurs de logiciel ou de distribution Linux. Parmi ces images officielles, on peut trouver :
des images relativement basique pour les différents systèmes d'exploitations (Debian, Ubuntu, Centos, Alpine, etc.)
des images adaptées pour lancer des programmes dans un langage particulier (Python, Go, Node.js, etc.)
des images qui encapsulent un logiciel comme un serveur Web (Apache, Nginx) ou un SGBD (PostgreSQL, MariaDB)
Identification des images
Pour les identifier, les images Docker ont un nom complet qui a la forme suivante.
La première partie correspond à l'adresse de la registry Docker. Dans le cas d'images venant du Docker Hub, cette première partie est absente (car le Docker Hub est la registry par défaut).
La seconde partie est le véritable nom de l'image.
La dernière partie est le tag de l'image. Le tag peut-être vu comme un moyen de versionner une image Docker. Lorsque le tag n'est pas spécifié, c'est le tag latest qui est utilisé. latest est un tag par défaut, qui est normalement utilisé pour pointer vers la dernière version de l'image.
Dans nos premiers pas avec Docker, c'est une image officielle (maintenue par des développeurs Debian) de Debian que nous avons utilisé. Le conteneur avait été démarré avec le paramètre debian:bullseye. C'est donc l'image debian, venant du Docker Hub, en version bullseye.
Manipuler les conteneurs
Démarrer un conteneur
Dans nos premiers pas, nous avons lancé un conteneur avec la commande docker run. C'est celle qui nous permet de démarrer un conteneur à partir d'une image. Instinctivement on pourrait lancer :
docker run debian:bookworm
Le résultat est cependant assez décevant, globalement rien ne se passe. En effet cette commande lance simplement un conteneur à partir de l'image debian:bookworm, mais on ne lui a rien demandé de plus.
Lorsque l'on lance un conteneur, il convient de spécifier 2 informations supplémentaires :
le processus que l'on souhaite démarrer dans le conteneur
si l'on souhaite interagir avec le processus dans le conteneur ou si l'on veut le lancer en arrière-plan
Concernant le processus, nous avions précédemment lancé le processus bash grâce à la commande docker run debian:bookworm bash. Le second paramètre de la commande docker run est la commande que l'on souhaite lancer dans le conteneur. Cependant, la plupart des images ont une commande par défaut à lancer, et dans le cas de debian:bookworm c'est la commande bash (il est possible d'obtenir cette information avec la commande docker image inspect debian:bookworm, mais nous ne nous attarderons pas là dessus).
La seconde information à spécifier est le mode de lancement du conteneur. Par défaut la commande docker run ne connecte pas le terminal de l'utilisateur dans le conteneur, pour cela on passe généralement 2 options :
- -i qui permet d'attacher le terminal à l'entrée standard du processus que l'on lance
- -t qui permet d'allouer un TTY au conteneur
Ces 2 options sont généralement passées ensemble et elles permettent de "connecter" son terminal au conteneur (au processus lancé dans le conteneur plus précisément).
En conclusion, pour refaire les manipulations du début de module, on peut lancer notre conteneur avec la commande :
docker run -it debian:bookwormCependant il est aussi possible de lancer un conteneur en mode détaché, c'est d'ailleurs le cas le plus fréquent. Par exemple si l'on veut faire tourner un service web et une base de données en arrière-plan sur le serveur. Pour cela on utilise simplement l'option -d. Par exemple la commande docker run -d debian:bookworm sleep 10 va lancer, en arrière plan, un processus sleep 10 dans un conteneur. Une fois le processus terminé le conteneur s'arrêtera.
Gérer les conteneurs
Maintenant que l'on sait démarrer nos conteneurs, il serait intéressant de pouvoir contrôler leur cycle de vie. En effet un conteneur Docker peut-être dans plusieurs états :
running indique que le conteneur est en cours d’exécution
exited indique le conteneur a terminé son exécution
paused indique que le conteneur est mis en pause dans son exécution
d'autres états de transition (created, restarting, removing) ou d'erreur (dead) qui ne seront pas approfondis ici
Lorsque l'on lance la commande docker run, Docker va d'abord créer un conteneur à partir de l'image choisie, puis le démarrer pour le mettre dans un état running. Quand le processus à l'intérieur du conteneur aura terminé de s’exécuter, le conteneur va s'arrêter et deviendra exited.
Sur notre machine, on peut lister tout les conteneurs existants avec la commande docker container ls -a.
Pour chaque conteneur on obtient les informations suivantes :
un identifiant unique pour le conteneur
l'image Docker utilisée par ce conteneur
la commande (ou le processus) lancée dans le conteneur
la date de création du conteneur
son statut et le temps depuis lequel il est dans ce statut
le nom du conteneur
Premier constat : Docker a donné des noms aux conteneurs alors que nous ne lui avons rien demandé ! En effet Docker génère automatiquement un nom (selon un algorithme plutôt rigolo) pour chaque nouveau conteneur, mais il est possible (et d'ailleurs fortement recommandé) de nommer les conteneurs autrement. Pour cela on utilisera l'option --name NOM_CONTENEUR au lancement de docker run.
Deuxième constat : tout les conteneurs que nous avons lancé jusqu'ici sont listés, même si ils sont arrêtés. En effet l'option -a permet de lister la totalité des conteneurs (sans cela seuls ceux qui sont démarrés seraient listés). On peut d'ailleurs supprimer rapidement les conteneurs en statut Exited avec la commande docker container rm NOM_CONTENEUR, pour éviter que la liste ne grandisse trop au fur et à mesure de nos manipulations. Il est aussi possible d'indiquer à Docker de supprimer automatiquement un conteneur lorsque celui-ci se termine, grâce à l'option --rm dans la commande docker run (nous avions utilisé cette option au tout début de la prise en main des conteneurs).
Stopper, suspendre et lancer un processus dans un conteneur
Avec Docker il est possible de changer l'état de son conteneur manuellement. Par exemple démarrer un conteneur qui est arrêté, on utilisera tout simplement docker start NOM_CONTENEUR. De la même manière c'est avec docker stop que l'on peut stopper le conteneur prématurément.
Une autre action est aussi possible : mettre en "pause" un conteneur. Avec docker pause, le processus dans le conteneur verra son exécution suspendue. La commande docker unpause permet de relancer le processus qui reprendra son exécution dans le même état que lors de son interruption. C'est une fonctionnalité qui peut s'avérer intéressante lorsque l'on veut sauvegarder des données qui sont manipulées par le conteneur (par exemple dans le cas d'une base de donnée) et donc bloquer les I/O très temporairement.
Enfin, il est possible de lancer des commandes directement dans un conteneur en cours d’exécution, en parallèle du processus courant. Ceci est possible grâce à la commande docker exec -it NOM_CONTENEUR COMMANDE, elle est très souvent utilisé lorsqu'il est nécessaire d'ouvrir un shell dans un conteneur. Prenons l'exemple d'un conteneur qui exécute une instance de base de donnée : PostgreSQL. On peut très simplement démarrer un conteneur à partir de l'image officielle postgres qui démarre une instance PostgreSQL :
Le conteneur démarre en mode détaché et l'instance PostgreSQL est démarrée. Si on souhaite accèder au SGBD afin de créer une base de données (par exemple) on peut tout simplement
lancer "docker exec -it postgresql psql -U postgres".
Ceci va simplement lancer la commande "psql -U postgres" à l'intérieur du conteneur, nous permettant de faire ensuite des manipulations (par exemple créer une BDD avec "CREATE DATABASE").
docker run -d --name postgresql -e POSTGRES_PASSWORD=votresupermotdepassepourlabasededonnee postgres
Le conteneur démarre en mode détaché et l'instance PostgreSQL est démarrée. Si on souhaite accéder au SGBD afin de créer une base de données (par exemple) on peut tout simplement lancer :
docker exec -it postgresql psql -U postgres
Ceci va simplement lancer la commande psql -U postgres à l'intérieur du conteneur, nous permettant de faire ensuite des manipulations (par exemple créer une BDD avec CREATE DATABASE).
Conclusion
Nous venons d'aborder, de manière un peu condensée, les commandes et mécanismes de bases de Docker. Il est particulièrement important de les maîtriser, et il peut-être judicieux de prendre le temps de manipuler quelques conteneurs (éventuellement tester des images présentes sur le Docker Hub) pour s'assurer que ces bases sont acquises.
Exercice - Manipulation de conteneurs
Docker run
Que fait la commande docker run --name test -d nginx
Elle lance un conteneur basé sur l'image nginx en arrière plan.
Elle lance le processus bash dans un conteneur.
Elle lance le processus par défaut de l'image nginx dans un conteneur.
Elle ouvre un shell interactif dans un conteneur basé sur l'image nginx.
État d'un conteneur
Le résultat de la commande docker container ls -a est le suivant :
Dans quel état se trouve le conteneur quirky_darwin ?
Arrêté
En exécution
Supprimé
Image d'un conteneur
Le résultat de la commande docker container ls -a est le suivant :
Quelle est l'image utilisée par le conteneur dazzling_goldwasser ?
Stopper un conteneur
Le résultat de la commande docker container ls -a est le suivant :
Quelle commande lancer pour stopper le conteneur basé sur l'image nginx ?
Renommage
Je viens de lancer la commande suivante :
$ docker run -d postgres
2c8f63cd308def6d1ebeab8b6b2ec3a074304c4843c5521817ed43c3b46a1592
Docker a choisi un nom aléatoire pour mon conteneur mais je souhaite le renommer. En cherchant sur Internet et/ou dans la documentation de Docker, quelle est la commande complète que je peux utiliser pour renommer mon conteneur en mabdd.
Docker run
Que fait la commande docker run --name test -d nginx
Elle lance un conteneur basé sur l'image nginx en arrière plan.
Elle lance le processus bash dans un conteneur.
Elle lance le processus par défaut de l'image nginx dans un conteneur.
Elle ouvre un shell interactif dans un conteneur basé sur l'image nginx.
État d'un conteneur
Arrêté
En exécution
Supprimé
Image d'un conteneur
Le résultat de la commande docker container ls -a est le suivant :
Quelle est l'image utilisée par le conteneur dazzling_goldwasser ?
Stopper un conteneur
Le résultat de la commande docker container ls -a est le suivant :
Quelle commande lancer pour stopper le conteneur basé sur l'image nginx ?
Renommage
Je viens de lancer la commande suivante :
$ docker run -d postgres
2c8f63cd308def6d1ebeab8b6b2ec3a074304c4843c5521817ed43c3b46a1592
Docker a choisi un nom aléatoire pour mon conteneur mais je souhaite le renommer. En cherchant sur Internet et/ou dans la documentation de Docker, quelle est la commande complète que je peux utiliser pour renommer mon conteneur en mabdd.