Kontejner (container)

Příklady z praxe

1. 01

   Node.js API bez ruční instalace runtime

   Tým zabalí malou HTTP službu do image a na serveru spustí jen kontejnerový runtime. Server nemusí mít ručně instalovanou správnou verzi Node.js ani všechny npm balíčky. Při nasazení se stáhne image a kontejner se spustí podobně jako na vývojářském notebooku.

   FROM node:22-alpine
   WORKDIR /app
   COPY package*.json ./
   RUN npm ci --omit=dev
   COPY . .
   CMD ["node", "server.js"]

2. 02

   Lokální databáze s trvalým volume

   Vývojář spustí PostgreSQL pro lokální testy v kontejneru a data uloží do pojmenovaného volume. Kontejner lze smazat a vytvořit znovu, aniž by se ztratila databázová data. Tým tak získá rychle obnovitelné prostředí bez instalace databáze přímo do systému.

   services:
     db:
       image: postgres:16
       environment:
         POSTGRES_PASSWORD: example
       volumes:
         - pgdata:/var/lib/postgresql/data
   volumes:
     pgdata:

Časté omyly

MýtusKontejner je jen lehčí virtuální stroj.

Ve skutečnostiKontejner a virtuální stroj řeší podobný provozní problém, ale používají jinou izolační vrstvu. Kontejner sdílí jádro hostitele, zatímco virtuální stroj virtualizuje celý operační systém.

MýtusKdyž aplikace běží v kontejneru, je automaticky bezpečná.

Ve skutečnostiKontejner zmenšuje některé dopady chyb, ale bezpečnost závisí na image, oprávněních, konfiguraci runtime, síti a aktualizacích. Špatně nastavený kontejner může být velmi rizikový.

Časté dotazy

Proč kontejner nenahrazuje virtuální stroj ve všech případech?

Kontejner sdílí jádro hostitelského operačního systému, zatímco virtuální stroj má vlastní kernel a silnější izolační vrstvu. Virtuální stroj proto dává větší smysl pro odlišné operační systémy, velmi citlivé workloady nebo situace, kde je požadována tvrdší bezpečnostní hranice. Kontejner je obvykle výhodnější pro rychlé nasazování aplikací se stejným typem hostitelského jádra.

Co se stane s daty po smazání kontejneru?

Data uložená jen do zapisovatelné vrstvy kontejneru obvykle zmizí při smazání kontejneru. Trvalá data mají být uložena do volume, bind mountu, databáze nebo objektového úložiště mimo životní cyklus konkrétního kontejneru. Kontejner je dobré chápat jako nahraditelnou instanci aplikace, ne jako dlouhodobé úložiště stavu.

Proč může být kontejner nebezpečný, když běží jako root?

Kontejner spuštěný jako root může při chybné konfiguraci nebo zranitelnosti získat větší možnosti, než aplikace skutečně potřebuje. Bezpečnější provoz obvykle používá neprivilegovaného uživatele, omezené capabilities, read-only souborový systém tam, kde to jde, a přísnější pravidla pro přístup k hostitelským adresářům. Kontejnerová izolace není omluva pro příliš široká oprávnění.

Kdy má smysl dát databázi do kontejneru?

Databáze v kontejneru dává velký smysl pro lokální vývoj, integrační testy a dočasná prostředí, protože se snadno spouští a zahazuje. Produkční databáze v kontejneru vyžaduje promyšlené perzistentní úložiště, zálohování, monitoring, limity zdrojů a plán obnovy. Kontejner sám o sobě neřeší spolehlivost datové vrstvy.

Zdroje

1. Docker Docs(otevře se v novém okně)Docker Inc.
2. Containers(otevře se v novém okně)Kubernetes
3. Control Group v2(otevře se v novém okně)The Linux Kernel documentation
4. OS-level virtualization(otevře se v novém okně)Wikipedia

Související pojmy

• DockerDocker je platforma pro vytváření, distribuci a spouštění aplikací v kontejnerech. Umožňuje zabalit program se závislostmi do přenositelného image, který lze spustit podobně na vývojářském počítači, v testech i na serveru. Pomáhá sjednotit prostředí, zrychlit nasazování a oddělit aplikace od hostitelského systému.
• KubernetesKubernetes je open-source platforma pro orchestraci kontejnerů, která automatizuje nasazování, škálování, síťování a obnovu aplikací běžících na více serverech. Vývojářům a DevOps týmům umožňuje popsat požadovaný stav systému deklarativně a nechává cluster průběžně dorovnávat realitu podle této definice bez ručního spouštění jednotlivých procesů.
• Operační systémOperační systém je software, který spravuje hardware počítače a rozděluje jeho zdroje mezi běžící programy. Přiděluje procesorový čas, paměť, přístup k disku a k síti, izoluje procesy od sebe navzájem a nabízí aplikacím jednotné rozhraní systémových volání. Bez operačního systému by každý program musel ovládat konkrétní hardware sám.
• OrchestraceOrchestrace je automatizované řízení mnoha dílčích úloh, kontejnerů nebo služeb tak, aby dohromady tvořily fungující celek. Orchestrátor rozhoduje, co se kde spustí, v jakém pořadí, co se stane při selhání a kdy se má kapacita zvětšit. Typickými nástroji jsou Kubernetes pro kontejnery a Airflow pro datové pipeline.
• ACIDACID je sada čtyř vlastností databázové transakce: atomicity, consistency, isolation a durability. Zaručuje, že skupina zápisů proběhne jako jeden celek, neporuší definovaná pravidla databáze, nebude se nebezpečně míchat s jinými transakcemi a po potvrzení přežije pád systému, například při převodu peněz.
• Adaptive IconAdaptivní ikona je formát ikony aplikace na Androidu, který se místo jedné hotové bitmapy skládá z oddělených vrstev: pozadí a popředí. Systém výsledný tvar sám ořízne podle masky výrobce zařízení a může vrstvy animovat nebo přebarvit. Vývojář tak dodá jeden zdroj a launcher z něj vytvoří kruh, čtverec i squircle.
• Adresa v pamětiAdresa v paměti je číslo, kterým procesor jednoznačně označuje konkrétní buňku operační paměti, obvykle jeden bajt. Program pomocí adresy říká, odkud má data načíst nebo kam je zapsat. Adresy tvoří souvislý číselný rozsah, jehož velikost určuje šířka adresní sběrnice a architektura, typicky 32 nebo 64 bitů.
• AI agentAI agent je softwarový systém, který pomocí modelu umělé inteligence vnímá zadaný kontext, plánuje další kroky a samostatně volá nástroje nebo služby k dosažení cíle. Na rozdíl od jednorázového promptu udržuje stav úlohy, vyhodnocuje výsledky akcí a může opakovat postup, dokud nesplní zadání nebo nenarazí na limit.