Was ist Docker?

Container sind standardisierte, ausführbare Komponenten, die den Anwendungsquellcode mit den Betriebssystembibliotheken und Abhängigkeiten kombinieren, die für die Ausführung dieses Codes in jeder Umgebung erforderlich sind.

Wenn man von Docker spricht, meint man in der Regel die Docker Engine, die Laufzeitumgebung für die Erstellung und Ausführung von Containern. Docker bezieht sich auch auf Docker, Inc.¹, das Unternehmen, das die kommerzielle Version von Docker vertreibt. Es bezieht sich auch auf das Docker Open Source Projekt², zu dem Docker, Inc. und viele andere Organisationen und Einzelpersonen beitragen.

Container vereinfachen die Entwicklung und Bereitstellung verteilter Anwendungen. Sie werden immer beliebter, da Unternehmen auf cloudnative Entwicklung und hybride Multicloud-Umgebungen umsteigen. Entwickler können Container auch ohne Docker erstellen, indem sie direkt mit den in Linux und anderen Betriebssystemen integrierten Funktionen arbeiten, aber Docker macht Containerisierung schneller und einfacher. Zum Zeitpunkt der Erstellung dieses Artikels meldete Docker, dass über 20 Millionen Entwickler die Plattform monatlich nutzen³. Wie andere Containerisierungstechnologien, einschließlich Kubernetes, spielt Docker eine entscheidende Rolle in der modernen Softwareentwicklung, insbesondere in der Microservices-Architektur.

Im Gegensatz zum traditionellen monolithischen Ansatz einer großen, eng gekoppelten Anwendung bieten Microservices einen cloudnativen Architekturframework. Dieses Framework komponiert eine einzelne Anwendung aus vielen kleineren, lose gekoppelten und unabhängig voneinander einsetzbaren kleineren Komponenten oder Diensten. Jeder Dienst kann mit Docker containerisiert werden, was die Bereitstellung vereinfacht und es den Teams ermöglicht, neue Versionen einzuführen und Anwendungen nach Bedarf zu skalieren.

Container werden durch die in den Linux-Kernel integrierte Prozessisolierung und Virtualisierungsfunktionen ermöglicht. Zu diesen Funktionen gehören Kontrollgruppen (Cgroups) für die Zuweisung von Ressourcen zwischen Prozessen und Namensräume für die Einschränkung des Zugriffs oder der Sichtbarkeit eines Prozesses auf andere Ressourcen oder Bereiche des Systems.

Container ermöglichen mehreren Anwendungskomponenten die gemeinsame Nutzung der Ressourcen einer einzigen Instanz des Host-Betriebssystems. Diese gemeinsame Nutzung ähnelt der Art und Weise, wie ein Hypervisor mehreren Virtual Machines (VMs) die gemeinsame Nutzung der Zentraleinheit (CPU), des Speichers und anderer Ressourcen eines einzelnen Hardwareservers ermöglicht.

Die Containertechnologie bietet alle Funktionen und Vorteile von Virtual Machines (VMs), einschließlich der Isolierung von Anwendungen und kosteneffizienter Skalierbarkeit, sowie weitere bedeutende Vorteile:

• Geringeres Gewicht: Im Gegensatz zu VMs tragen Container nicht die Nutzlast einer ganzen Betriebssysteminstanz und eines Hypervisors. Sie enthalten nur die Betriebssystemprozesse und Abhängigkeiten, die für die Ausführung des Codes erforderlich sind. Die Größe von Containern wird in Megabyte gemessen (im Gegensatz zu Gigabyte bei einigen VMs), nutzt die Hardwarekapazitäten besser aus und hat schnellere Startzeiten.
  
  
• Verbesserte Produktivität: Containerisierte Anwendungen können einmal geschrieben und überall ausgeführt werden. Im Vergleich zu VMs sind Container schneller und einfacher zu installieren, bereitzustellen und neu zu starten.
  
  
• Größere Effizienz: Mit Containern können Entwickler ein Vielfaches an Kopien einer Anwendung auf der gleichen Hardware ausführen, als dies mit VMs möglich ist. Diese Effizienz kann die Cloud-Ausgaben reduzieren.

Unternehmen, die Container verwenden, berichten von vielen weiteren Vorteilen, wie z. B. einer verbesserten App-Qualität, einer schnelleren Reaktion auf Marktveränderungen und mehr.

Docker ist mit einem Marktanteil von 82,84 % das am weitesten verbreitete Tool zur Containerisierung.⁴ Docker ist heute so beliebt, dass die Begriffe „Docker“ und „Container“ synonym verwendet werden. Allerdings waren die ersten Container-Technologien schon Jahre – sogar Jahrzehnte⁵ – verfügbar, bevor Docker 2013 öffentlich als Open Source veröffentlicht wurde. 

Vor allem wurde 2008 LinuXContainers (LXC) in den Linux-Kernel implementiert, wodurch die Virtualisierung für eine einzelne Linux-Instanz vollständig möglich wurde. Während LXC auch heute noch verwendet wird, sind neuere Linux-Kernel-Technologien verfügbar. Ubuntu, ein modernes Open-Source-Linux-Betriebssystem, bietet diese Funktion ebenfalls. Mit Docker können Entwickler über einfache Befehle auf diese nativen Containerisierungsfunktionen zugreifen und sie über eine arbeitssparende Anwendungsprogrammierschnittstelle (API) automatisieren.

Die Verwendung von Docker gegenüber dem älteren, weniger kompatiblen LXC bietet viele Vorteile.

Die Containerisierung von Docker funktioniert heute auch mit Microsoft Windows Server und Apple MacOS. Entwickler können Docker-Container auf jedem Betriebssystem ausführen. Alle führenden Cloud-Service-Provider (CSPs), darunter Amazon Web Services (AWS), Microsoft Azure, Google Cloud Services und IBM Cloud®, bieten spezielle Dienste an, die Entwicklern bei der Erstellung, Bereitstellung und Ausführung von mit Docker containerisierten Anwendungen unterstützen.

Docker verwendet eine Client-Server-Architektur. Im Folgenden finden Sie eine Aufschlüsselung der Kernkomponenten, die mit Docker verbunden sind, sowie weitere Docker-Begriffe und -Tools.

Docker-Host: Ein Docker-Host ist eine physische oder virtuelle Maschine, auf der Linux (oder ein anderes Docker-Engine-kompatibles Betriebssystem) ausgeführt wird.

Docker Engine: Docker Engine ist eine Client-/Server-Anwendung, die aus dem Docker Daemon, einer Docker API, die mit dem Daemon interagiert, und einer Befehlszeilenschnittstelle (CLI) besteht, die mit dem Daemon spricht.

Docker Daemon: Docker Daemon ist ein Service, der Docker-Images mit den Befehlen des Clients erstellt und verwaltet. Im Grunde dient Docker Daemon als Kontrollzentrum für die Docker-Implementierung.

Docker-Client: Der Docker-Client stellt die CLI bereit, die auf die Docker-API (eine REST API) zugreift, um mit dem Docker-Daemon über Unix-Sockets oder eine Netzwerkschnittstelle zu kommunizieren. Der Client kann aus der Ferne mit einem Daemon verbunden werden, oder ein Entwickler kann den Daemon und den Client auf demselben Computersystem ausführen.

Docker-Objekte: Docker-Objekte sind Komponenten einer Docker-Bereitstellung, die beim Verpacken und Verteilen von Anwendungen helfen. Dazu gehören Images, Container, Netzwerke, Volumes, Plug-ins und mehr.

Docker-Container: Docker-Container sind Live-Instanzen mit Docker-Images. Während es sich bei Docker-Images um schreibgeschützte Dateien handelt, handelt es sich bei Containern um aktive, kurzlebige, ausführbare Inhalte. Benutzer können mit ihnen interagieren und Administratoren können ihre Einstellungen und Bedingungen über Docker-Befehle anpassen.

Docker-Images: Docker-Images enthalten ausführbaren Anwendungsquellcode sowie alle Tools, Bibliotheken und Abhängigkeiten, die der Anwendungscode als Container ausführen muss. Wenn ein Entwickler das Docker-Image ausführt, wird es zu einer Instanz (oder mehreren Instanzen) des Containers.

Das Erstellen von Docker-Images von Grund auf ist möglich, aber die meisten Entwickler beziehen sie aus allgemeinen Repositorys. Entwickler können mehrere Docker-Images aus einem einzigen Basis-Image erstellen und werden die Gemeinsamkeiten ihres Stacks teilen.

Docker-Images bestehen aus Ebenen und jede Ebene entspricht einer Version des Images. Immer wenn ein Entwickler Änderungen am Image vornimmt, wird eine neue oberste Ebene erstellt und diese oberste Ebene ersetzt die vorherige oberste Ebene als aktuelle Version des Images. Vorherige Ebenen werden für Rollbacks oder zur Wiederverwendung in anderen Projekten gespeichert.

Jedes Mal, wenn ein Container aus einem Docker-Image erstellt wird, wird eine weitere neue Schicht, die Containerschicht, erstellt. Änderungen am Container – wie das Hinzufügen oder Löschen von Dateien – werden in der Containerebene gespeichert, und diese Änderungen existieren nur, solange der Container ausgeführt wird.

Dieser iterative Prozess der Image-Erstellung erhöht die Gesamteffizienz, da mehrere Live-Container-Instanzen von einem einzigen Basis-Image ausgeführt werden können. Dabei verwenden sie einen gemeinsamen Stack.

Docker Build: Docker Build ist ein Befehl mit Tools und Funktionen zum Erstellen von Docker-Images.

Dockerfile: Jeder Docker-Container beginnt mit einer einfachen Textdatei, die Anweisungen enthält, wie das Docker-Container-Image zu erstellen ist. Dockerfile automatisiert den Prozess der Erstellung von Docker-Images. Es ist im Wesentlichen eine Liste von CLI-Anweisungen, die Docker Engine ausführen wird, um das Image zusammenzustellen. Die Liste der Docker-Befehle ist riesig, aber standardisiert: Docker-Vorgänge funktionieren unabhängig von Inhalt, Infrastruktur oder anderen Umgebungsvariablen gleich.

Docker-Dokumentation: Docker-Dokumentation oder Docker-Docs bezieht sich auf die offizielle Docker-Bibliothek mit Ressourcen, Handbüchern und Anleitungen für die Erstellung von containerisierten Anwendungen.

Docker Hub: Docker Hub⁶ ist das öffentliche Repository von Docker Images und nennt sich selbst die weltweit größte Bibliothek und Community für Container-Images.⁷ Es enthält über 100.000 Container-Images, die von kommerziellen Softwareanbietern, Open-Source-Projekten und einzelnen Entwicklern stammen. Docker Hub umfasst Images, die von Docker, Inc. erstellt wurden, zertifizierte Images, die zum Docker Trusted Registry gehören, und Tausende weiterer Images.

Alle Benutzer von Docker Hub können ihre Bilder nach Belieben teilen. Sie können auch vordefinierte Basis-Images aus dem Docker-Dateisystem herunterladen und als Ausgangspunkt für jedes Containerisierungsprojekt verwenden.

Es gibt weitere Image-Repositorys, darunter GitHub.⁸ GitHub ist ein Repository-Hosting-Service, der für Tools zur Anwendungsentwicklung und als Plattform zur Förderung der Zusammenarbeit und Kommunikation bekannt ist. Benutzer von Docker Hub können ein Repository (Repo) erstellen, das viele Images enthalten kann. Das Repository kann öffentlich oder privat sein und mit GitHub- oder BitBucket-Konten verknüpft werden.

Docker Desktop: Docker Desktop ist eine Anwendung für Mac oder Windows, die Docker Engine, Docker CLI-Client, Docker Compose, Kubernetes und andere enthält. Es bietet auch Zugang zu Docker Hub.

Docker-Registrierung: Eine Docker-Registrierung ist ein skalierbaresOpen-Source Speicher- und Verteilungssystem für Docker-Images. Es ermöglicht Entwicklern, Image-Versionen in Repositorys zu verfolgen, indem sie diese zur Identifizierung mit Tags versehen. Diese Nachverfolgung und Identifizierung erfolgt mit Git, einem Tool zur Versionskontrolle.

Docker-Plug-ins: Entwickler verwenden Plug-ins, um die Docker Engine noch funktionaler zu machen. Mehrere Docker-Plugins, die Autorisierung, Volumen und Netzwerk unterstützen, sind im Plugin-System der Docker-Engine enthalten; Plugins von Drittanbietern können ebenfalls geladen werden.

Docker-Erweiterungen: Docker-Erweiterungen ermöglichen Entwicklern die Nutzung von Drittanbieter-Tools in Docker Desktop, um ihre Funktionen zu erweitern. Zu den Erweiterungen für Entwickler-Tools gehören Kubernetes App-Entwicklung, Sicherheit, Observability und mehr.

Docker Compose: Entwickler können Docker Compose verwenden, um Anwendungen mit mehreren Containern zu verwalten, wobei alle Container auf demselben Docker-Host laufen. Docker Compose erstellt eine YAML-Datei (.YML), die angibt, welche Dienste in der Anwendung enthalten sind, und kann Container mit einem einzigen Befehl bereitstellen und ausführen. Da die YAML-Syntax sprachunabhängig ist, können YAML-Dateien in Programmen verwendet werden, die in Java, Python, Ruby und vielen anderen Sprachen geschrieben sind.

Entwickler können Docker Compose auch verwenden, um persistente Volumes für die Speicherung zu definieren, Basisknoten festzulegen und Dienstabhängigkeiten zu dokumentieren und zu konfigurieren.

Wenn nur wenige Container ausgeführt werden, ist die Verwaltung einer Anwendung innerhalb der Docker Engine, der De-facto-Laufzeitumgebung der Branche, ziemlich einfach. Bei Bereitstellungen mit Tausenden von Containern und Hunderten von Diensten ist es jedoch fast unmöglich, die Lebenszyklen von Containern ohne ein Container-Orchestrierungs-Tool zu überwachen und zu verwalten.

Während Docker sein eigenes Orchestrierungs-Tool enthält (namens Docker Swarm), ist Kubernetes der Industriestandard. Andere beliebte Plattformen zur Container-Orchestrierung sind Apache Mesos und Nomad.

Kubernetes ist eine Open-Source-Container-Orchestrierungsplattform, die von Borg, einem für den internen Gebrauch bei Google entwickelten Projekt, abstammt. Kubernetes wurde 2014 der Öffentlichkeit vorgestellt und plant und automatisiert Aufgaben, die für die Verwaltung von Container-basierten Architekturen unerlässlich sind. Dazu gehören die Bereitstellung von Containern, Updates, die Erkennung von Diensten, die Bereitstellung von Speicherplatz, Load Balancing, Zustandsüberwachung und vieles mehr. Im Jahr 2015 spendete Google Kubernetes der Cloud Native Computing Foundation (CNCF)⁹, dem anbieterneutralen Open-Source-Zentrum für cloudnatives Computing.

Darüber hinaus ermöglicht das Open-Source-Ökosystem von Tools für Kubernetes, darunter Istio, Knative und Tekton, ermöglicht es Unternehmen, eine hochproduktive Plattform als Service (PaaS) für containerisierte Anwendungen einzusetzen. Dieses Ökosystem bietet auch einen schnelleren Einstieg in Serverless Computing.

Die Open Container Initiative (OCI)¹⁰ wurde 2015 gegründet, nachdem Docker die Spezifikation für das Container-Image und den Laufzeitcode runc gespendet hatte. Sie ist ein Projekt der Linux Foundation, das sich für die Schaffung offener Industriestandards für das Container-Image-Format und die Laufzeit einsetzt. Die OCI besteht aus führenden Unternehmen wie Docker, IBM und Red Hat. Es unterstützt die Innovation und hilft Unternehmen, die Abhängigkeit von einem bestimmten Anbieter zu vermeiden.

Während Docker die bekannteste und am häufigsten verwendete Containertechnologie ist, hat sich das breitere Ökosystem auf containerd und andere Alternativen wie LXC, CRI-O, Podman und andere standardisiert. Im Jahr 2017 hat Docker das Projekt „Containerd“ an die CNCF gespendet. Containerd ist eine dem Branchenstandard entsprechende Container-Laufzeitumgebung, die runc verwendet und die zentrale Container-Laufzeitumgebung der Docker Engine ist.

Die Komplexität von Container-Workloads erfordert die Implementierung und Aufrechterhaltung von Sicherheitskontrollen, die Container und die ihnen zugrunde liegende Infrastruktur schützen. Die Sicherheitspraktiken für Docker-Container sind darauf ausgelegt, containerisierte Anwendungen vor Risiken wie Sicherheitsverletzungen, Malware und böswilligen Akteuren zu schützen.

Da Docker-Container voneinander und vom Hostsystem isoliert sind, verfügen sie von Haus aus über ein gewisses Maß an Sicherheit. Diese Isolierung ist jedoch nicht absolut. Die Docker-Sicherheit dreht sich um ein ganzheitliches Null-Trust-Framework, das die Laufzeit, den Aufbau und die Orchestrierung von Containern umfasst.

Der Bedarf an Docker und anderen containerbezogenen Sicherheitsfunktionen hat die Beliebtheit von DevSecOps erhöht. Hierbei handelt es sich um einen Sicherheitsansatz, der die Integration von Sicherheitspraktiken in jeder Phase des Softwareentwicklungszyklus automatisiert – vom ersten Entwurf über die Integration, das Testen und die Bereitstellung bis hin zum Deployment. Zu den Best Practices für die Sicherheit von Docker gehören außerdem Container-Sicherheitstools und -lösungen von Drittanbietern, einschließlich Scannen und Überwachung, die Sicherheitsprobleme erkennen können, bevor sie sich auf die Produktion auswirken.