Optimizacija Dockerja in kontejnerja: popoln vodnik za učinkovitost delovanja

Informatec Digital » Viri » Optimizacija Dockerja in kontejnerja: popoln vodnik za učinkovitost delovanja

V naslednjih vrsticah boste našli zelo popoln vodnik za pretvorbo vaše Dockerjeve uvedbe v veliko hitrejše, lažje, varnejše in enostavnejše za uporabo okoljeNamenjen je tako mladim uporabnikom kot izkušenim DevOps strokovnjakom, ki želijo pregledati najboljše prakse, ključne metrike, trike Dockerfile, mreženje, shranjevanje, spremljanje in uporabne ukaze, ki vplivajo na vsakodnevno delo.

Zakaj se splača optimizacijo Dockerja potisniti do meje

Dockerjeva obljuba je jasna: svojo aplikacijo zapakirate z vsem, kar potrebuje, in jo poganjate enako kjer koli, vendar da dosežete to točko z dobro zmogljivostjo. Paziti morate, kako gradite, izvajate in spremljate svoje kontejnerje.Razlika med naivno in optimizirano sliko je lahko ogromna.

V dokumentiranem primeru iz resničnega sveta je bila slabo izpopolnjena implementacija prilagajana korak za korakom, dokler ni 36-kratno zmanjšanje časa izdelave in 42-kratno zmanjšanje velikosti slikeVse zahvaljujoč odločitvam, kot so izbira boljše osnovne slike, dobra uporaba predpomnilnika, prerazporeditev plasti in uporaba večstopenjskih gradenj. Brez črne magije, le pravilno uporabljene dobre prakse.

Optimizacija ni samo hitrost: odraža se tudi v Manjša poraba procesorja in RAM-a na vašem VPS-ju, manj omrežnega prometa pri prenosu/nalaganju slikHitrejši zagoni, manjša površina za napade in veliko bolj agilen cikel CI/CD. Z drugimi besedami, neposreden vpliv na stroške, zanesljivost in uporabniško izkušnjo.

Poleg tega se dobro optimizirano okolje Docker bolje ujema z VPS platforme in oblaki ki že imajo orodja za spremljanje, SSD shranjevanje in omrežja z nizko zakasnitvijoIz infrastrukture izvlečete več, ne da bi jo morali nenehno predimenzionirati.

Poleg tega se dobro optimizirano okolje Docker bolje ujema z VPS in platforme v oblaku, ki že vključujejo orodja za spremljanje, SSD shranjevanje in omrežja z nizko zakasnitvijoIz infrastrukture izvlečete več, ne da bi jo morali nenehno predimenzionirati.

Ključne metrike za merjenje učinkovitosti vaših vsebnikov

Preden se začnete ukvarjati z Dockerfiles ali parametri daemona, morate biti glede tega jasni. Kaj boste merili in kako boste vedeli, ali se resnično izboljšujete?Brez metrik je nemogoče odkriti ozka grla ali preveriti učinek vaših sprememb.

V Dockerjevih vsebnikih so osnovne metrike, ki jih morate spremljati, naslednje: CPU, pomnilnik, V/I disk, omrežje in čas zagonaOd tam se lahko poglobite v podrobnosti na ravni aplikacije (latenca, prepustnost, napake itd.).

Nekaj ​​ključnih meritev delovanja Dockerja, na katere morate vedno biti pozorni, je: Poraba procesorja na vsebnik, poraba RAM-a in izmenjalnega pomnilnika, operacije branja/pisanja v pomnilniku, pasovna širina omrežja, paketi na sekundo in čas, ki je potreben, da vsebnik postane operativen po zagonu.

Za zbiranje teh podatkov imate na voljo tako vgrajena orodja kot tudi naprednejše rešitve za opazovanje. Na ravni konzole ukaz docker stats Prikazuje statistiko delujočih kontejnerjev v realnem času. Za večjo globino cAdvisor razkriva podrobne metrike za vsak kontejner in Prometej v kombinaciji z Grafano, je dejanski standard za gradnjo nadzornih plošč, opozoril in časovnih vrst v celotnem okolju.

Številne sodobne platforme VPS že integrirajo Nadzorne plošče z Dockerjevimi metrikami, opozorili in grafikoni, ki so pripravljeni za uporaboTo znatno zniža oviro za vstop v resno spremljanje. Pogosto je mogoče najti nadzorne plošče, ki prikazujejo stanje CPU-ja, RAM-a, diska, omrežja in vsebnika neposredno v nadzorni plošči strežnika.

Dockerjeve slike: od gigabajtnih pošasti do lahkih in varnih gradenj

Temelj dobrega delovanja kontejnerja je imeti Dobro oblikovane slike: majhne, ​​ponovljive in enostavne za posodabljanjeTukaj je običajno največ prostora za izboljšave in kjer so spremembe najbolj dobrodošle.

Slika, napihnjena z orodji za gradnjo, predpomnilniki paketov in začasnimi datotekami, lahko zlahka prekosi giga in maloVendar pa lahko z uporabo pravih tehnik velikost zmanjšate na le nekaj deset megabajtov. V primeru, ki smo ga omenili prej, se je velikost po uporabi vseh optimizacij povečala z 1,42 GB na približno 34 MB.

Ta progresivna optimizacija je jasno pokazala, kako je vsak korak dodal vrednost: izberite specifično in svetlo osnovno sliko Čas gradnje se je skrajšal z več kot 350 sekund na nekaj več kot 38; z uporabo predpomnjenja plasti se je znižal na 24 sekund; s prerazporeditvijo plasti se je prilagodil na približno 18; strateško reorganizacijo COPY Zmanjšal se je na približno 10 sekund, večstopenjske gradnje pa so omogočile, da se je čas ohranil okoli 10 sekund, vendar z končna velikost slike le 34 MB.

Vse to temelji na več ključnih idejah: uporabi minimalne osnovne slike (Alpine, Debian Slim, Scratch)Jasno ločite gradnjo in izvajanje, zmanjšajte število plasti, očistite odvisnosti in predpomnilnike v isti plasti, kjer so ustvarjene, in uporabite dober .dockerignore da se izognete nalaganju neželene vsebine v kontekst gradnje.

Orodja kot DockerSlim ali potapljanje Pomagajo analizirati, kaj je znotraj posamezne plasti, videti, kaj zavzema prostor, in razumeti, zakaj je slika takšne velikosti. Prav tako je dobro, da v svoj potek dela integrirate varnostni skener (Docker Scan, Trivy itd.), da odkrijete ranljivosti v osnovnih slikah in odvisnostih.

Kako izbrati in strukturirati osnovne slike vsebnika

Ena najpogostejših napak pri začetku dela z Dockerjem je uporaba splošne in težke osnovne slike Za vse: Polni sistemi Ubuntu ali Debian za storitve, ki bi lahko odlično delovali v nečem veliko manjšem.

Za zelo lahke storitve ali mikrostoritve, ki počnejo eno zelo specifično stvar, je odlična možnost Alpine Linux, ki je velik približno 5-6 MBIdealen je za preproste aplikacije, čeprav namesto glibc uporablja musl, kar včasih zahteva manjše prilagoditve nekaterih knjižnic.

Če potrebujete srednjo pot med velikostjo in udobjem, Debian Slim (približno 60-70 MB) Običajno je to zelo uravnotežena izbira: na voljo je več paketov kot pri Alpine, vendar brez vseh dodatkov, ki jih prinaša polna distribucija.

Za statične binarne datoteke in zelo zaprte storitve lahko greste še dlje z Scratch, ki je dobesedno prazna slikaTam postavite le prevedeno binarno datoteko in bistvene elemente za njeno delovanje, zato je nastala velikost minimalna, za ceno tega, da morate vse zgraditi sami.

Pri izbiri osnovne slike morate poleg same velikosti upoštevati tudi pogostost varnostnih posodobitev, združljivost odvisnosti, ki jih uporabljate (sistemske knjižnice, orodja za prevajanje itd.) in omejitve virov okolja, kjer boste namestili (na primer majhen VPS).

Sloji, večstopenjske gradnje in upravljanje predpomnilnika

Arhitektura slik vsebnika temelji na nespremenljivih plasteh, ki so zložene druga na drugo, z plast pisanja med izvajanjem kjer se shranjujejo spremembe vsebnika. Razumevanje tega je bistveno za optimizacijo velikosti in časov gradnje.

Ločimo lahko več vrst plasti: Osnovna plast z datotekami operacijskega sistema, aplikacijske plasti z lastno kodoSistem je sestavljen iz plasti odvisnosti (knjižnice, izvajalna okolja, paketi) in konfiguracijskih plasti. Osnovna plast in plast odvisnosti imajo največji vpliv na velikost.

Dobra strategija vključuje združite ukaze v enega RUN veriženje z &&Na ta način ustvarite manj plasti in v istem koraku počistite vse, kar kasneje ne bo potrebno (predpomnilniki upravitelja paketov, začasne datoteke itd.). Če imate tri RUN Če sledite tistim, ki bi se lahko združili, verjetno ustvarjate dodatne plasti.

Večstopenjske gradnje igrajo ključno vlogo: v prvi fazi (graditelj) namestite vse orodja za gradnjo, SDK-ji in odvisnosti potrebno za generiranje artefakta (binarne datoteke, sprednji svežnji itd.), v drugi fazi pa ta rezultat le kopirate v veliko lažjo osnovno sliko, zasnovano samo za izvajanje, in je tudi priporočljivo Razmislite o alternativnih okoljih izvajanja, kot je Podman.

Ta pristop vam omogoča, da imate Čista končna slika, brez orodij ali razvojnih knjižnicin tudi izkoristiti predpomnjenje plasti na inteligenten način: če se sistemske odvisnosti ne spremenijo, se plast, ki jih vsebuje, ponovno uporabi in ponovno se zgradijo le deli, ki so se dejansko spremenili (pogosto koda aplikacije).

Upravljanje procesorja in pomnilnika: Ne dovolite, da kateri koli kontejner porabi vaš VPS

Ko so slike bolj ali manj pod nadzorom, je naslednji pomemben korak konfiguracija načina Docker porazdeli CPU in RAM med vsebnikeČe ne postavite omejitev, lahko nevljudna storitev preobremeni gostitelja in pokvari ostale.

Na ravni CPU-ja Docker ponuja več orodij: lahko definirate relativne kvote procesorja, tako da imajo nekateri kontejnerji večjo težo kot drugiNastavite lahko največje omejitve uporabe in celo dodelite vsebnike določenim jedrom z uporabo naborov procesorjev. To je zelo uporabno za kritične storitve ali kadar želite izolirati velike delovne obremenitve.

V spominu imaš naslednje: stroge omejitve (--memory) da preprečimo, da bi vsebnik presegel določeno količino RAM-a, rezervacije (--memory-reservation) za zagotovitev minimuma za pomembne storitve in parametre zamenjave, da se prepreči divje straničenje diska.

Osnovne dobre prakse na tem področju so nenehno spremlja porabo virov na vsebnikZa nekritične storitve uporabite razumne omejitve in gostitelju pustite nekaj manevrskega prostora, da se izognete stalnemu delovanju s 100-odstotno obremenitvijo.

Če vaša arhitektura postaja vse bolj kompleksna, orodja za orkestracijo, kot sta Docker Swarm ali Kubernetes Omogočajo naprednejše upravljanje virov: rezervacije, garancije, omejitve na pod, horizontalno samodejno skaliranje in bogatejše politike kakovosti storitev kot tiste za en sam, preprost gostitelj.

Dockerjeva omrežja: zakasnitev, omrežni načini in odkrivanje storitev

Omrežje je pogosto spregledano, dokler se ne pojavijo težave z zakasnitvijo, časovnimi omejitvami ali ozkimi grli med mikroservisi. Docker ponuja več rešitev. omrežni krmilniki, ki očitno vplivajo na zmogljivost in izolacijo iz vaših posod.

Način most To je privzeta konfiguracija: vsebniki si delijo virtualni most, so izolirani od gostitelja in izpostavljeni prek preslikanih vrat. V preprostih okoljih je to običajno popolno, vendar lahko povzroči nekaj dodatnih stroškov.

Način gostiteljNamesto tega odpravi to plast in omogoči, da vsebnik deli omrežni sklad gostitelja. To zmanjša stroške in izboljša delovanje v nekaterih scenarijih z veliko prometa, vendar za ceno izgube dela izolacije.

Ko morate komunicirati med vsebniki, ki se nahajajo na različnih vozliščih Docker, pride v poštev mreženje. prekrivni in vozniki kot Macvlankar vam omogoča, da vsakemu vsebniku dodelite svoj MAC naslov in ga prikažete kot drugo fizično napravo v omrežju.

Da bi imeli nekaj reda, je idealno ustvariti Prilagojena mostna omrežja za sorodne storitvene skupine (na primer zaledni sistem in baza podatkov), natančno nastavite ločljivost DNS z uporabo možnosti --dns kadar je to potrebno, in imejte sistem za odkrivanje storitev (Swarm, Consul itd.), ki vam preprečuje ročno iskanje IP-jev.

Shranjevanje in V/I: nosilci, gonilniki in zmogljivost diska

Aplikacije, ki berejo in zapisujejo veliko podatkov, so še posebej občutljive na to, kako konfigurirate Dockerjeva shramba, nosilci in uporabljeni gonilnik shrambeTukaj lahko pridobite ali izgubite veliko zmogljivosti.

V večini primerov je danes priporočeni gonilnik prekrivka2kar ponuja dobro ravnovesje med stabilnostjo in zmogljivostjo. Drugi, kot sta DeviceMapper ali AUFS, so rezervirani za specifična ali starejša okolja in je vredno skrbno oceniti, ali jih resnično potrebujete.

Za trajne podatke je najbolj smiselno uporabiti Dockerjeve količine namesto povezovalnih vpetij. Nosilci običajno delujejo bolje, lažje jih je varnostno kopirati in seliti ter delujejo bolj dosledno na različnih gostiteljih in operacijskih sistemih.

Za kratkotrajne podatke, ki jih je treba hitro obdelati (predpomnilniki, začasne datoteke itd.), je zelo uporaben trik uporaba nosilci tmpfski te podatke shranijo neposredno v pomnilnik in zmanjšajo pritisk na disk.

Stvari lahko izboljšate tudi tako, da navodila v datoteki Dockerfile naročite tako, da Maksimizirajte uporabo predpomnilnika plasti, omejite število zapisov na disk in uporabite tehnike dušenja V/I za zelo intenzivne vsebnike, da preprečite, da bi porabili vso pasovno širino diska VPS.

Spremljanje, odpravljanje težav in uporabniška izkušnja

Dockerjevo okolje brez dobre opazovalnosti je črna skrinjica. Za samozavestno delovanje potrebujete spremljati tako dogajanje znotraj kontejnerjev kot tudi to, kar uporabnik zazna od zunaj.

Omenili smo že Prometheusa, Grafano, cAdvisor in ukaz docker statski zelo dobro pokrivajo notranje tehnične metrike (CPU, pomnilnik, notranja latenca itd.). K temu je priporočljivo dodati register sklada, kot je npr. ELK (Elasticsearch, Logstash, Kibana) ali podobne rešitve SaaS za združevanje in analizo dnevnikov v velikem obsegu.

Ukaz docker events Je odličen zaveznik za odpravljanje napak: omogoča vam, da v realnem času vidite, kaj počne Dockerjev demon (zažene, ustavi, napake, ponovni zagoni) in to primerjate z vašimi meritvami in dnevniki.

Za neposredno čiščenje v določeni posodi lahko uporabite docker inspect za ogled njegove podrobne konfiguracije, docker exec -it vstopiti v lupino in na kraju samem preveriti, kaj se dogaja, ali docker network inspect za reševanje težav s povezljivostjo.

Poleg notranje perspektive je zelo priporočljivo vključiti zunanja sintetična orodja za spremljanje, ki simulirajo vedenje resničnih uporabnikov z različnih geografskih lokacijPlatforme, kot je Dotcom-Monitor, vam omogočajo preverjanje razpoložljivosti, odzivnih časov in stopenj uspešnosti transakcij, kar ponuja celovit pogled, ki dobro dopolnjuje Prometheus in podjetje.

Varnost, najboljše prakse in Dockerjevi ukazi, ki jih boste uporabljali vsak dan

Optimizacija delovanja brez upoštevanja varnosti je streljanje v nogo. Večina najboljših praks Dockerja združuje oba vidika: Majhne slike, manjša površina za napadManj odvisnosti, manj potencialnih ranljivosti.

Nekaj ​​osnovnih priporočil: uporaba Dockerfile linterji za odkrivanje nevarnih vzorcevKadar koli je mogoče, se izogibajte izvajanju procesov kot root znotraj vsebnika. redno skenirajte slike iskanje ranljivosti in zanašanje na uradne in aktivno vzdrževane slike.

Priporočljivo je tudi avtomatizirati posodobitve osnovnih slik v vaših cevovodih CI/CD, vključno z varnostni pregledi kot obvezen korak v cevovodu in blokirati gradnje, ki vsebujejo kritične ranljivosti. Veliko bolje je pravočasno ustaviti uvajanje, kot pa se ukvarjati s produkcijskim incidentom zaradi znane CVE.

Pri vsakodnevni uporabi osnovni nabor ukazov Docker vključuje od docker --version y docker info da ugotovite, kaj ste namestili up docker pull za prenos slik, docker run za zagon interaktivnih ali ozadnih vsebnikov in docker ps / docker ps -a da vidite, kateri vsebniki so aktivni ali neaktivni.

Za ustvarjanje lastnih slik boste nenehno delali z docker build -t in različice datotek Dockerfiles v vašem repozitorijuZa upravljanje že aktivnih vsebnikov, docker stop, docker start, docker restart, docker logs y docker exec -it So bistvenega pomena.

Ko želite vztrajnost in mreženje popeljati še korak dlje, pridejo v poštev takšni ukazi. docker volume create y docker volume ls za obdelavo podatkov ali docker network ls y docker network create za nastavitev nekoliko bolj dovršenih topologij med vašimi storitvami.

Za projekte z več kot enim zabojnikom (kar je norma pri vsaki zmerno resni uporabi), Docker Compose postaja skoraj obvezen. Z enostavnim docker-compose up -d Dvignete celoten kup in z docker-compose down Ustaviš ga in počistiš povezane vire. Od tam naprej profili Compose, BuildKit in buildx odpirajo vrata do gradenj z več arhitekturami, naprednega upravljanja predpomnilnika in veliko natančnejših uvajanj.

Na operativni ravni je koristno sprejeti določene navade: Vedno označite svoje slike z jasnimi oznakami, ne kopičite osirotelih vsebnikov in slik (ukazi, kot so docker system prune, docker container prune o docker image prune pomagajte ohranjati čisto okolje) in uporabite sintakso --mount Za volumen, ko želite popolno izraznost in manj presenečenj kot pri klasiki -v.

Celoten nabor tehnik – od izbire prave osnovne slike, večstopenjske gradnje, upravljanja virov, mreženja, shranjevanja, spremljanja in varnosti – omogoča gradnjo Visoko optimizirana Docker okolja, ki se hitro zaženejo, porabijo ravno pravšnjo količino virov, so varnejša in veliko lažja za upravljanje.Če jih postopoma vključite v svoje projekte in jih združite z dobro VPS infrastrukturo ter spodobno strategijo opazovanja, vaši kontejnerji ne bodo več nepredvidljive črne škatle in bodo postali trden del vaše platforme.