Docker a Microsoft (diskuse)

[coder]

A to je dobře nebo špatně?

[Luk]

Asi dobře. Dockeru to může pomoci, jak z hlediska rozšířenosti, tak podporou vývoje. Bránit se tomu by znamenalo, že by se místo Dockeru využívalo něco uzavřeného.

[...]

dobra zprava pro uplne vsechny zucastnene. snad jen ne pro akcionare konkurence.

[tacoberu]

Jaká je konkurence?

[Hans1024]

Pro Microsoft je konkurence vsechno na co nema monopol.

[kralyk z abclinuxu]

No jen aby to nebyla fáze Embrace...

[gsnak]

Co je to Docker?

[tacoberu]

Naprosto skvělá věc!

Představ si lightweight virtuální stroj aka virtualbox, (přirozeně s určitými omezeními), sloučený s gitem.

Pravděpodobně to umí i další věci, ale to mě teprve čeká prozkoumat.

[Bedňa]

Predstav si že chceš sprístupniť nejakú službu zákazníkom. Klasicky sa nasadí virtualizácia čo užívateľ to virtuálny stroj. Toto je veľmi drahé na prostriedky, pretože sa zbytočne virtualizuje všetko vrátane HW. Paravirtualizácia ide trochu ďalej a pre odľahčenie beží na jednom kernely a pri tom sa tvári akoby každý mal svoj.

V praxi ale často potrebujú zákazníci len nejaký súhrn služieb ktoré sa len softvérovo izolujú od systému. Užívateľa proste zavrie do klietky pomocou cgroups a namespaces aby sa nedostal do hlavného systému. Je to lacné na prostriedky a "virtualizuje" sa len to čo užívateľ používa.

[Filip Jirsák]

Myslím, že k tomuhle Docker určený není, protože uživatel v té klícce moc uzavřený není. Hodí se to pro vývoj nebo snazší deploy systémů jednoho zákazníka, ale pro oddělení více zákazníků to podle mne nestačí.

[lm]

Celkem slusne shrnuto jen nevim jak by mohly cgroups zabranit pristupu do hlavniho systemu(?). Sice se izoluje na urovni vzajemne viditelnosti, ale rozhodne nejde o bezpecnostni vrstvu a proces s dostatecnymi pravy nebo dodatecne ziskanymi napr. zneuzitim chyby si muze porad delat co chce.

Hezky byl popsan falesny pocit bezpeci u virtualizaci na jednom z mailing listu:

x86 virtualization is about basically placing another nearly full kernel, full of new bugs, on top of a nasty x86 architecture which barely has correct page protection. Then running your operating system on the other side of this brand new pile of shit. You are absolutely deluded, if not stupid, if you think that a worldwide collection of software engineers who can't write operating systems or applications without security holes, can then turn around and suddenly write virtualization layers without security holes. You've seen something on the shelf, and it has all sorts of pretty colours, and you've bought it. That's all x86 virtualization is.

[rws]

Je to nadstavba pro automatizovane vytvareni jakoby "chroot" prostredi. Vytvori to base system. Definujes template (napr. web server) a zadas balicky, ktery to ma umet a docker vezme base system, pomoci aufs pripoji dalsi template-image a nainstaluje balicky pro template. Pak reknes, ze chces z toho template vytvorit 5 sluzeb, tak pripoji pres aufs ten template a zvlast image pro ty jednotlivy sluzby. Pracujes v "chrootu" (jsou to LX kontejnery/cgroups, ja s tim nedelam, tak nazvy presne neznam) a vsechny zmeny (cfg+data) se ukladaji pomoci aufs pouze do toho image te konkretni sluzby.

Kdyz pak chces udelat update systemu, tak docker udela update base-image. Z toho base-image pak docker pripravi nove template-image. A pak jenom pripoji tyhle nove template-image s temi image jednotlivych sluzeb (dostanes tedy novy SW, ale config a data zustanou) a jede se dal.

Jestli to dobre chapu, tak je to neco jako libvirt pro XEN, KVM.... XEN a KVM muzes pouzivat bez libvirt, ale s libvirt editujes snadnejc configy. Stejne tak muzes si sam pripravit par chrootu a pak je nastartovat s pomoci LX/cgroups, pro vic sluzeb si muzes rucne spravovat base a template image a pripojovat je do aufs, ale docker tohle udela pomoci par parametru sam.

Snad nekecam, kolega mi to jednou asi 10 minute ukazoval.

[Jiří J.]

Tak nějak, docker je prakticky management rozhraní pro cgroups a linux namespaces (mount, uts, pid, net, ipc, user) spolu s definicí infrastruktury kolem toho (např. vrstvené image).

Nevím, proč nad to někdo chce cpát úplně jiný operační systém - možná čistě z marketingových důvodů, těmto věcem se v PR přezdívá "virtualizace", na úkor zákazníků, kteří jim to sežerou (a pak si stěžují u nás na #netfilter, že jim nejdou nahrávat kernel moduly).

[tacoberu]

Vyvíjím aplikaci, a chci si ji otestovat pro různé platformy. Cokoliv, co usnadní tuto práci je výtané.

[Petr Tomášek]

výtané

jakože na to vyje pes?

[kohe]

Ne, jako kočka.

[xkucf03]

Libvirt můžeš používat i s LXC, je to dost šikovné – přes jedno rozhraní (GUI virt-manager, řádkový virsh nebo jakákoli nadstavba nad libvirtem) spravuješ různé virtualizační technologie (viz libvirt supports). U toho LXC můžeš mít jak virtuál pro celý systém, tak kontejner pro jednu aplikaci.

[lima]

Pokud si k tomu ale nevymyslis cool marketingovy nazev a nezacnes masivne reklamovat jako revolucni sluzbu, je to vsechno k nicemu.

[tacoberu]

I tak by se to dalo říci.

Já jsem třeba libvirt zkoušel používat, ale bylo to hrozně nepohodlné. GnomeBoxes byly pohodlné (ale to jen pro ilustraci, je to plná virtualizace), jenže tam mi zase nešlo sshčko.

Docker jsem zkusil, a všechno fungovalo samo a pohodlně. To je prostě bonus, který se počítá.

[pavlix]

GnomeBoxes byly pohodlné (ale to jen pro ilustraci, je to plná virtualizace)

Není to náhodou jen nadstavba nad libvirt?

[tacoberu]

Ve skutečnosti nevím.

Můj příspěvek berte prosím čistě jako pohled někoho, kdo potřeboval řešení svého problému. libvirt i GnomeBoxes ať je to implementováno jakkoliv, tak prostě byly blbé. Docker je sice jen jakási paravirtualizace, ale mnohem více mi to pomohlo, protože to bylo snadnější k použití.

A samozřejmě, jde o příspěvek na který reaguji.

[pavlix]

Můj příspěvek berte prosím čistě jako pohled někoho, kdo potřeboval řešení svého problému.

Takový příspěvek je dost tupý, pokud jeho součástí není popis problému a alespoň náznak analýzy těch řešení.

libvirt i GnomeBoxes ať je to implementováno jakkoliv, tak prostě byly blbé.

Nejspíše nebyly vhodné pro daný účel. A nejspíše nebyly pro daný účel vůbec stavěné, pokud se docker ukázal jako vyhovující, vzhledem ke zcela odlišnému zaměření těch projektů.

Docker je sice jen jakási paravirtualizace

Docker v první řadě není paravirtualizace. Docker spouští linuxové kontejnery (jinde se tomu říká jails), tedy oddělené skupiny procesů, které se v mnohých ohledech chovají jako samostatný stroj. Jenže to, co přináší docker, nejsou ty linuxové kontejnery, OpenVZ a podobné se používaly dávno před ním. Docker tedy není ani tak o tvorbě kontejnerů jako o způsobu jejich provozu, tedy že se k nim nepřistupuje jako k běžným virtuálkám s běžným životním cyklem, ale předpřipraveným obrazům aplikací včetně celého systémového prostředí.

ale mnohem více mi to pomohlo, protože to bylo snadnější k použití.

Je otázkou, zda má smysl porovnávat dle snadnosti použití nástroje, které primárně neslouží ke stejnému účelu. Takové srovnání často dopadne tak, že každý nástroj selže v tom, na co nebyl určen.

A samozřejmě, jde o příspěvek na který reaguji.

To bych viděl jako kombinaci sarkasmu a povzdechu nad tím, že lidé nebyli schopni kontejnery docenit v jejich klasickém použití.

[tacoberu]

Příspěvek na který jsem reagoval: "Pokud ... tomu ale nevymyslis cool marketingovy nazev ... je to vsechno k nicemu."

Má reakce: "bylo to hrozně nepohodlné", "nešlo sshčko", "Docker jsem zkusil, a všechno fungovalo samo a pohodlně."

Sarkasticky poznamenávám, že nechápu, k čemu byl tvůj příspěvek.

Můj příspěvek nebyl o tom, jak libvrt funguje, ale o tom, že jeho UX je blbé. O ničem jiném se nechci bavit.

[xkucf03]

Můj příspěvek nebyl o tom, jak libvrt funguje, ale o tom, že jeho UX je blbé.

Libvirt je knihovna, abstraktní vrstva nad různými virtualizačními technologiemi. Pokud mluvíš o UX, tak pravděpodobně o nějaké aplikaci, která libvirt využívá. Prozradíš, která to byla?

[tacoberu]

Odpovím, co jsem používal, a co mi na nich vadilo:

GnomeBoxes - nešlo ssh, žralo to výkon do vytuhnutí virt-manager - lepší, ale je potřeba znát hodně podrobností o pozadí, a to neznám VirtualBox, VmWare - nejlepší. Ssh bez problémů. Akorád musíš být registrovaný atd, a nestačí jen připojit repozitář (možná jsem to jen nenašel).

Konkrétně, můj cíl bylo, spustit scriptem virtuální stroj, přihlásit se doň přes ssh, stáhnout a nainstalovat aplikaci, otestovat, vypnout, a spustit jiný.

Uvědomuji si, že Docker asi slouží trochu k něčemu jinému. Třeba Windows tam asi jen tak nerozchodím. Ale pro začátek dobrý. A šlo to překvapivě snadno. Rozchodit takto virt by bylo lepší, ale mě se to prostě nepodařilo. Byl jsem zahlcen informacema.

[xkucf03]

K tomu, aby „šlo ssh“, je potřeba mít most (síťové zařízení, bridge) aspoň já to tak dělám – to si nastavíš jednou a pak je to ve virt-manageru při vytváření virtuálů na jedno kliknutí, resp. je to výchozí volba a virtuály dostanou IP adresu ze stejného DHCP serveru jako fyzický počítač (nebo ji nastavíš ručně) a jsou ve stejné síti.

Příště bych to spíš řešil konkrétním dotazem do poradny a věřím, že už by tě někdo navedl, jak ten most udělat. Protože to vypadá, že chybělo fakt málo, abys byl s libvirem spokojený (resp. s nějakou nadstavbou nad ním: naklikat se to dá přes virt-manager, skriptovat se to dá přes virsh… a pořád pracuješ s těmi stejnými virtuály/konfiguracemi, můžeš používat víc nástrojů souběžně)

[tacoberu]

Pravděpodobně máš pravdu.

Aby mě bylo dobře rozumět, já jsem se nechtěl do virt nějak extra navážet. Pár dotazů jsem ohledně toho podal, ale ve skutečnosti jsem tomu zase tak moc nedal. Děkuji za povzbuzení, dát mu ještě šánci.

Můj příspěvek byl jen postřeh obyčejného uživatele na konkrétní reakci. A v daném kontextu měl být chápán.

[pavlix]

SSH jde i při výchozím nastavení sítě, ty virtuály jsou po IP normálně dostupné. Bridge potřebuješ jen když ho chceš dostat na fyzickou síť.

[pavlix]

Při výchozím nastavení libvirtu lze SSH z lokálního stroje normálně používat. Na přístup ze sítě je třeba konfiguraci změnit a použít bridge. Pár věcí ve virt-manageru je možná nepohodlných (nechci teď konkrétně hodnotit), libvirt sám o sobě umí být i komplikovaný. Ale na to abych si pustil virtuálku, zobrazil si ji v okně, spustil v ní SSH server (pokud neinstaluju něco, kde je by default), nastavil heslo a připojil se k němu po SSH, na to mi opravdu stačí funkční instalace libvirtu (ideálně nějaká stable distribuce) a trocha toho času. Klidně by stačilo pustit qemu přímo, ale virt-manager je takový pohodlnější.

Uvědomuji si, že Docker asi slouží trochu k něčemu jinému. Třeba Windows tam asi jen tak nerozchodím.

O tom nebyla řeč, Docker není primárně určený ani k běhu Linuxu, takže se obávám, že v tomto kontextu měl předřečník s tím cool marketingovým názvem pravdu.

[tacoberu]

Uvědomuji si, že Docker asi slouží trochu k něčemu jinému. Třeba Windows tam asi jen tak nerozchodím.

O tom nebyla řeč, Docker není primárně určený ani k běhu Linuxu, takže se obávám, že v tomto kontextu měl předřečník s tím cool marketingovým názvem pravdu.

A k čemu je tedy dle tebe určený?

[pavlix]

K provozu aplikací zabalených jako image včetně závislostí.

[tacoberu]

To by odpovídalo.

A jaké existují alternativy? Respektive, v čem konkrétně měl tedy předřečník v tomto kontextu pravdu?