Лекция с мероприятия WGForge об архитектуре Docker и основах работы с ним.

1. Docker
DEEP INTERNALS

2. Кто я
Меня зовут Кузьмицкий Александр. Окончил
МГВРК+БГУИР ИИТ по специальности
Информационные технологии и управление в
технических системах.
Работаю в Wargaming с 2012 года над
созданием инструментов автоматизации и
доставки ПО.
Видел Пик Ермаловича, Провал Кирейчука и прочий кровавый ентерпрайз.

3. Немного мемов

4. Тупых анекдотов
Тупой анекдот:
— Давай, убеждай меня в обратном.
— Дорогой, убедись, это обратное.

5. Смайлов

6. Что такое контейнер?
Что такое контейнер?

9. Что такое контейнер?
Контейнер – это процесс

10. Что такое контейнер?
Контейнер – это процесс
и стандартизированный юнит приложения

11. Что такое контейнер?
Другими словами, контейнер – это какое-то
изолированное приложение, которое что-то
делает.

12. Docker container
$ sudo docker run –-name test-nginx nginx
$ pid="$(docker inspect -f '{{.State.Pid}}’ test-nginx)"
$ sudo ln -sf /proc/$pid/ns/net "/var/run/netns/test-nginx "
$ sudo ip netns exec test-nginx ip a
$ sudo docker rm test-nginx

13. Проблемы
 Воспроизводимые легковесные окружения
 Эффективная доставка кода
 Унификация интерфейсов
 Развёртывание сервисов в условиях гетерогенного облака
 Уменьшение костов
 Виртуальные машины - дорого, долго и не всегда
эффективно

14. История разработки контейнеров
 2003 год создания Zones в Solaris
 2008 год создания LXC
 Docker был создан как продвинутый Chroot
 В 2013 docker стал OpenSource
 2.75 миллиона прямых загрузок за 1 год

15. Изоляция vs Виртуализация

16. Технологии ядра
 Namespaces – области видимости
 Cgroups – лимиты на использование ресурсов
 Networking – виртуализация сетевой подсистемы
 Layers – формат представления данных на диске с
помощью специально разработанных файловых систем
 Capabilities – разрешения на выполнение действий от
root

17. Namespaces(области видимости)
 pid: Изоляция процессов
 user: изоляция uid/gid
 net: Управление сетевыми интерфейсами
 ipc: управление доступоп к IPC ресурсам
 mnt: управление точками монтирования файловой
системы
 uts: изоляция ядра и идентификаторов
версий(hostname/domainname/architecture)

18. unshare – почувствуй себя хакером
# man unshare
http://man7.org/linux/man-pages/man1/unshare.1.html
 sudo unshare -pf bash; kill <pid>
 sudo unshare –u; hostname test123
 Sudo unshare –n; ip a

19. Cgroups
Cgroup – это коллекция процессов, которые связаны с
набором ограничений, определённых через файловую
систему cgroups.
# mount -t cgroup -o all cgroup /sys/fs/cgroup
# ls /sys/fs/cgroup
cpu, cpuacct, cpuset, memory, devices, freezer, net_cls, blkio,
perf_event, net_prio, hugetlb, pids, rdma

20. Networking
 Bridging
 Routing – маршрутизация трафика межу узлами
 Tunneling – работа с P2P тунелями
 Iptables
 NAT – port mapping, masquerading
 Filter - фильтрация трафика
 Network namespaces – сетевая виртуализация

21. Layers(Copy On Write)
Layers — формат представления данных на
диске с помощью набора слоёв с данными,
каждый из которых несёт в себе набор
файлов/директорий, которые мержатся на
верхнем уровне. Слои реализуют git-подобный
подход и существенно снижают размер
передаваемых данных по сети при копировании
и запуске контенеров.

22. Layers (Copy On Write)
 Overlayfs(2)
 AUFS
 Btrs
 Zfs
 …

23. Capabilities
Capabilities - это средства для управления привилегиями, которые в
традиционных Unix-подобных системах были доступны только
процессам, запущенным с правами root (uid==0). Этот механизм
позволяет дать процессу права на выполнениекаких-либо действий,
недоступных обычному пользователю (например, изменение системного
времени, прямой доступ к аппаратуре, использование зарезервированных
портов TCP/UDP (< 1024), блокировка страниц в физической памяти), но
в то же время не предоставлять этому процессу полный набор прав root.

24. “
”
Архитектура Docker
Как Docker устроен внутри

25. Архитектура Docker

26. Что такое docker

27. Топология инфраструктуры docker
Runc

28. Containerd

29. runc

30. Образы и слои

31. Дисковые бэкэнды Docker
Название
Утилизация
диска
Изоляция Надёжность Скорость
aufs низкая низкая низкая низкая
overlay2 низкая низкая высокая средняя
overlay низкая низкая низкая низкая
btrfs очень низкая очень высокая низкая средняя
devicemapper высокая очень высокая высокая высокая
zfs очень низкая очень высокая высокая высокая
vfs очень высокая очень высокая очень высокая очень высокая

32. Способы создания образов
 Проблема курицы и яйца
 docker commit
 docker build
 docker push
 docker pull
 Dockerfile
 https://hub.docker.com/

33. О Dockerfile подробнее
 .dockerignore – игнорирование файлов и папок при сборке контекста
 Dockerfile
 ADD
 COPY
 ENV
 EXPOSE
 FROM
 LABEL
 STOPSIGNAL
 USER
 VOLUME
 WORKDIR

34. Docker: устройство сетевой
подсистемы

35. Docker networking
http://man7.org/linux/man-pages/man4/veth.4.html

36. Docker: сетевые бэкэнды
 Network drivers:
 Bridge+port mapping
 Host
 Macvlan
 Ipvlan
 None
 Calico
 Weave
 CNI
 IPAM (ipv4/ipv6)
 Ip range
 Static ip

37. Docker: встроенные сети
$ docker network ls
NETWORK ID NAME DRIVER SCOPE
e5ca4257897c bridge bridge local
eaa67fcc08a0 host host local
74b7aedba702 none null local
* container

38. Docker Service discovery
 IP per container
 Hostname based service discovery
 Service Discovery в кластере

39. Хранение персистентных данных
Volume – это дисковое пространство между хостом и
контейнером. Другими словами – это папка на локальной
машине примонтированная внутрь контейнера.
Volume служат для хранения изменяющихся данных между
запусками контейнера.
Идеальный контейнер после запуска не вносит изменений в
свой слой. (RO Mode)

40. Отличия между типами Volumes

41. Volumes: Bind mounts
Bind mounts (-v, --mount) – способ хранения состояния
контейнера на файловой системе хост-машины.
• Базы данных
• Медиа файлы
• Данные, которые нужно шарить между контейнерами
• Позволяют примонтировать файл/сокет с хост-машины
https://docs.docker.com/storage/bind-mounts/

42. Volumes: docker volumes
 Волюмы отделены от контейнера и хранятся в файловой структуре
docker
 Волюмы управляются с помощью docker cli
 Волюмы могут находиться на других машинах и иметь самый разный
функционал, который обеспечивается волюм плагинами
 Волюм может иметь контент, предзаданный другим контейнером

43. Volumes: docker volumes
$ docker volume create my-vol
$ docker run -d --name devtest --mount source=myvol2,target=/app
nginx:latest
$ docker volume inspect my-vol
[ { "Driver": "local", "Labels": {}, "Mountpoint": "/var/lib/docker/volumes/my-
vol/_data", "Name": "my-vol", "Options": {}, "Scope": "local" } ]
$ docker inspect devtest
"Mounts": [ { "Type": "volume", "Name": "myvol2", "Source":
"/var/lib/docker/volumes/myvol2/_data", "Destination": "/app", "Driver":
"local", "Mode": "", "RW": true, "Propagation": "" } ],

44. Volumes: tmpfs
$ docker run -d -it --name tmptest --mount
type=tmpfs,destination=/app,tmpfs-size=100mb,tmpfs-
mode=0777 nginx:latest

45. Лимитирование ресурсов: mem
$ --mem 4mb
Oom (https://en.wikipedia.org/wiki/Out_of_memory)

46. Лимитирование ресурсов: cpu
$ --cpu
cpu-quota/cpu-period
cpuset-cpus
 --cpus 0.1 means 10% of one CPU,
 --cpus 1.0 means 100% of one whole CPU,
 --cpus 10.0 means 10 entire CPUs.

47. Docker compose
Как работать с docker-compose:
 Описывается набор контейнеров, параметров их запуска,
волюмы, линки и прочие параметры в файле docker-
compose.yml
 Запускается команда docker-compose up
 Compose автоматически собирает, скачивает и запускает
контейнеры.
 Контейнеры могут быть запущены в бэкграунде или в
интерактивном режиме.
 Для остановки используется команда docker-compose
down

48. Современное облако

49. Sсhedulers
 K8S (https://kubernetes.io/)
 Mesos+Marathon (https://dcos.io/)
 Nomad (https://www.nomadproject.io/)
 Swarm (https://docs.docker.com/engine/swarm/)
 Rancher (https://rancher.com/)

50. Sсhedulers
 Поддержание необходимого стейта
 Скейлинг по запросу
 Декларативное описание состояния
 Работа в гетерогенной среде
 Быстрое развёртывание кластера и контейнеров
 API
 Много готовых решений

51. Свойства контейнеров
 Воспроизводимость – контейнер всегда ведёт себя
одинаково
 Масштабируемость – горизонтальное масштабирование
 Идемпотентность – собирая контейнер из одного и того же
Dockerfile мы получим один и тот же контейнер
 Надёжность – контейнер использует простые технологии
ядра
 Портативность – контейнер ведёт себя одинаково на
разных хостах

52. Литература
 https://container.training/intro-selfpaced.yml.html
 https://docs.docker.com/
 https://kubernetes.io/
 https://mesosphere.github.io/marathon/
 http://mesos.apache.org/documentation/latest/architectu
re/
 https://github.com/containernetworking/cni
 https://en.wikipedia.org/wiki/Out_of_memory

53. Q&A
Спасибо за внимание.