Che cos'è la containerizzazione?

Con una migliore portabilità ed efficienza delle risorse rispetto alle macchine virtuali (VM), i container sono diventati di fatto le unità di calcolo delle moderne applicazioni cloud-native .

La containerizzazione consente agli sviluppatori di creare e implementare applicazioni in modo più rapido e sicuro. Con i metodi tradizionali, gli sviluppatori scrivono codice in un ambiente informatico specifico che, una volta trasferito in una nuova posizione, spesso causa bug o errori. Può accadere, ad esempio, quando uno sviluppatore trasferisce il codice da un computer desktop a una VM o da Linux a un sistema operativo Windows. La containerizzazione elimina questo problema raggruppando il codice dell'applicazione con i file di configurazione, le librerie e le dipendenze correlate necessari per l'esecuzione. Questo singolo pacchetto software, detto "container", è astratto dal sistema operativo host. Pertanto, è autonomo e diventa portatile, in grado di funzionare senza problemi su qualsiasi piattaforma o cloud.

Il concetto di containerizzazione e isolamento dei processi è vecchio di decenni. Tuttavia, l'emergere nel 2013 del Docker open source, uno standard di settore per container con semplici strumenti per sviluppatori e un approccio universale al confezionamento, ha accelerato l'adozione di questa tecnologia. Oggi, le organizzazioni utilizzano sempre più la containerizzazione per creare nuove applicazioni e modernizzare le applicazioni esistenti per il cloud.

Secondo un report di Forrester¹, il 74% dei responsabili decisionali dell'infrastruttura negli Stati Uniti afferma che le aziende stanno adottando container all'interno di una Platform-as-a-Service (PaaS) in un ambiente on-premise o cloud pubblico.

I container sono "leggeri", ossia condividono il sistema operativo della macchina e non richiedono il sovraccarico causato dal dover associare un sistema operativo all'interno di ogni applicazione. I container sono intrinsecamente più piccoli in termini di capacità rispetto alle VM e richiedono meno tempo di avvio. Questa funzionalità consente di eseguire molti più container sulla stessa capacità di calcolo di una singola VM. Questa funzionalità consente di aumentare l'efficienza dei server e, a sua volta, di ridurre i costi dei server e delle licenze.

E soprattutto, la containerizzazione consente alle applicazioni di essere "scritte una volta ed eseguite ovunque" nei data center on-premise e negli ambienti hybrid cloud e multicloud.

Questa portabilità accelera lo sviluppo, impedisce il blocco da fornitore di cloud e offre altri notevoli vantaggi come l'isolamento dei guasti, la facilità di gestione, la sicurezza semplificata e altro ancora.

Il video seguente fornisce ulteriori spiegazioni sulla containerizzazione:

L'architettura di containerizzazione è costituita da quattro livelli di componenti fondamentali.

I container incapsulano un'applicazione come un singolo pacchetto eseguibile di software che raggruppa il codice dell'applicazione insieme a tutti i file di configurazione, le librerie e le dipendenze correlate necessari per l'esecuzione.

Le applicazioni containerizzate sono "isolate", nel senso che non vengono raggruppate in una copia del sistema operativo. Al contrario, un runtime di container open source o un motore di container (come il motore di runtime Docker) viene installato nel sistema operativo dell'host e diventa il canale usato dai container per condividere un sistema operativo con altri container nello stesso sistema di elaborazione.

Altri livelli di container, come i file binari comuni (BIN) e le librerie, possono essere condivisi tra più container. Questa funzionalità elimina il sovraccarico dovuto all'esecuzione di un sistema operativo all'interno di ogni applicazione e rende i container più piccoli in termini di capacità e più veloci da avviare rispetto alle macchine virtuali, aumentando così l'efficienza dei server. L'isolamento delle applicazioni come container riduce anche la possibilità che il codice dannoso in un container abbia un impatto su altri container o invada il sistema host.

L'astrazione dal sistema operativo host rende le applicazioni containerizzate portatili e in grado di essere eseguite in modo uniforme e coerente su qualsiasi piattaforma o cloud. I container possono essere facilmente trasportati da un computer desktop a una macchina virtuale (VM) o da un sistema operativo Linux a uno Windows. I container verranno eseguiti in modo coerente anche su infrastrutture virtualizzate o su server tradizionali bare metal, sia on-premise che in un data center su cloud.

La containerizzazione consente agli sviluppatori software di creare e implementare le applicazioni in modo più rapido e sicuro, indipendentemente dal fatto che l'applicazione sia un monolito tradizionale (un'applicazione software a singolo livello) o un'applicazione modulare basata su  microservizi. Gli sviluppatori possono costruire nuove applicazioni basate su cloud da zero come microservizi containerizzati, suddividendo un'applicazione complessa in una serie di servizi più piccoli, specializzati e gestibili. Possono anche rimpacchettare le applicazioni esistenti in container (o microservizi containerizzati) che utilizzano le risorse di calcolo in modo più efficiente.

I container vengono spesso paragonati alle macchine virtuali (VM), in quanto entrambe le tecnologie consentono una significativa efficienza di calcolo per un'esecuzione di più tipi di software (basati su Linux o Windows) in un unico ambiente.

La virtualizzazione utilizza un hypervisor, un livello software posizionato su un computer o un server fisico che consente al computer fisico di separare il sistema operativo e le applicazioni dal proprio hardware. La tecnologia di virtualizzazione consente a più sistemi operativi e applicazioni software di eseguire simultaneamente e condividere un singolo computer fisico o ospitare le risorse del computer (ad esempio, CPU, storage e memoria). Ad esempio, un'organizzazione IT può eseguire sia Windows che Linux o più versioni di un sistema operativo, insieme a varie applicazioni sullo stesso server.

Ogni applicazione e il relativo file system, le librerie e le altre dipendenze, inclusa una copia del sistema operativo, vengono raggruppati come VM. Con più macchine virtuali in esecuzione su una singola macchina fisica, è possibile ottenere risparmi significativi in termini di costi di capitale, operativi ed energetici.

La containerizzazione, d'altra parte, utilizza le risorse di calcolo in modo ancora più efficiente. Un container crea un singolo pacchetto eseguibile di software che raggruppa il codice dell'applicazione insieme a tutte le dipendenze necessarie per l'esecuzione. A differenza delle VM, tuttavia, i container non si raggruppano in una copia del sistema operativo. Invece, il motore runtime per container viene installato sul sistema operativo del sistema host, o "host OS", diventando il canale attraverso il quale tutti i container del sistema informatico condividono lo stesso sistema operativo.

I container sono spesso definiti "leggeri": condividono il kernel del sistema operativo della macchina e non richiedono il sovraccarico dell'associazione di un sistema operativo all'interno di ogni applicazione (come nel caso di una macchina virtuale). Anche altri livelli di container (contenitori e librerie comuni) possono essere condivisi tra più container, rendendo i container intrinsecamente più piccoli in termini di capacità rispetto a una macchina virtuale e più veloci da avviare. Più container possono essere eseguiti sulla stessa capacità di calcolo di un'unica macchina virtuale, con un'efficienza del server ancora maggiore e una riduzione dei costi del server e delle licenze.

Il video riportato di seguito analizza in modo più approfondito la distinzione tra container e macchine virtuali:

La containerizzazione offre vantaggi significativi agli sviluppatori e ai team di sviluppo, soprattutto nelle seguenti aree.

Con l'aumento della crescita delle soluzioni basate su container, è emersa la necessità di standard per la tecnologia dei container e per l'approccio alla creazione di pacchetti del codice software. L'Open Container Initiative (OCI)², un progetto Linux istituito nel giugno 2015 da Docker e altri leader del settore, è emerso come un modo per promuovere standard e specifiche comuni, minimali e aperti sulla tecnologia dei container. Da allora, l'OCI ha contribuito ad ampliare le scelte per i motori open source in modo che gli utenti possano evitare il blocco da fornitore. Gli sviluppatori possono anche sfruttare le tecnologie certificate OCI che consentono loro di creare applicazioni containerizzate utilizzando un set diversificato di strumenti DevOps ed eseguirli in modo coerente sulle infrastrutture di loro scelta.

Per chiarire ogni confusione, Docker fa riferimento anche a Docker, Inc.³, la società che sviluppa strumenti di produttività basati sulla tecnologia dei container Docker. Si riferisce anche al progetto open source Docker⁴ al quale Docker, Inc. e molte altre organizzazioni e individui contribuiscono.

Mentre Docker è la tecnologia di motori per container più nota e altamente utilizzata, l'ecosistema più ampio è standardizzato su containerd e altre alternative come CoreOS rkt, Mesos Containerizer, LXC Linux Containers, OpenVZ e crio-d.

Oggi un'organizzazione potrebbe avere centinaia o migliaia di container, una quantità che per i team sarebbe quasi impossibile da gestire manualmente. Questo è il punto in cui entra in gioco l'orchestrazione dei container.

Una piattaforma di orchestrazione dei container pianifica e automatizza gli aspetti della gestione, come l'implementazione dei container, il networking, il bilanciamento del carico, la scalabilità e la disponibilità.

Kubernetes, lo strumento di orchestrazione di container più diffuso a disposizione, è una tecnologia open source (originariamente open source di Google, basata su un loro progetto interno chiamato Borg) che automatizza le funzioni dei container Linux. Kubernetes funziona con numerosi motori container, come Docker Engine. Funziona anche con qualsiasi sistema di container conforme agli standard OCI (Open Container Initiative) per i formati di immagine e i tempi di esecuzione dei container.

Mentre Kubernetes è lo standard del settore, altre diffuse piattaforme di orchestrazione di container includono Apache Mesos, Nomad e Docker Swarm.

Per ulteriori informazioni sull'orchestrazione di container, vedere questo video che spiega come funziona Kubernetes:

La containerizzazione è parte integrante della  modernizzazione delle applicazioni. Questo processo si riferisce alla trasformazione di applicazioni monolitiche (legacy) in applicazioni cloud-native basate su un'architettura di microservizi progettata per integrarsi in qualsiasi ambiente cloud.

I microservizi sono un approccio superiore allo sviluppo e alla gestione delle applicazioni rispetto al precedente modello monolitico che combina un'applicazione software con l'interfaccia utente associata e il database sottostante in un'unica unità su una piattaforma a server singolo. Con i microservizi, un'applicazione complessa viene suddivisa in una serie di servizi più piccoli e più specializzati, ciascuno con il proprio database e la propria logica di business. I microservizi comunicano tra interfacce comuni (come le API) e le interfacce REST (come HTTP). Utilizzando i microservizi, i team di sviluppo possono concentrarsi sull'aggiornamento di aree specifiche di un'applicazione senza influire su di essa nel suo complesso, con conseguente accelerazione dello sviluppo, dei test e della distribuzione.

I concetti alla base dei microservizi e della containerizzazione sono simili. Sono entrambe pratiche di sviluppo software che essenzialmente trasformano le applicazioni in raccolte di servizi o componenti più piccoli che sono portabili, scalabili, efficienti e più facili da gestire.

Inoltre, i microservizi e la containerizzazione sono efficaci se utilizzati insieme. I container offrono un'incapsulamento leggero di qualsiasi applicazione, che si tratti di un monolito tradizionale o di un microservizio modulare. Un microservizio, sviluppato all'interno di un container, ottiene tutti i vantaggi intrinseci della containerizzazione, come ad esempio la portabilità.

Nel complesso, container, microservizi e cloud computing si sono fusi, portando lo sviluppo e la distribuzione delle applicazioni a un nuovo livello. Queste tecnologie semplificano i workflow DevOps e supportano l'integrazione continua e le pipeline di distribuzione continua (CI/CD) per consentire uno sviluppo software accelerato. Questi approcci di nuova generazione hanno introdotto agilità, efficienza e affidabilità al ciclo di vita dello sviluppo del software, portando a una distribuzione più rapida di app containerizzate e miglioramenti agli utenti e al mercato.

Le organizzazioni continuano a passare al cloud, dove gli utenti possono sviluppare applicazioni in modo rapido ed efficiente. La containerizzazione è diventata un caso d'uso fondamentale per la  migrazione nel cloud, il processo di spostamento di dati, applicazioni e workload da un data center on-premise a un'infrastruttura basata sul cloud o da un ambiente cloud a un altro.

La migrazione del cloud è una parte essenziale dell'ambiente di hybrid cloud di un'organizzazione, che combina servizi di cloud on-premise, pubblici e privati per creare un'unica infrastruttura IT flessibile ed economica, che supporta e automatizza la gestione dei workload tra gli ambienti cloud.

Oggi, le applicazioni e i dati basati su cloud sono accessibili da qualsiasi dispositivo connesso a Internet, consentendo ai membri dei team di lavorare da remoto e quando sono in viaggio. I provider di servizi cloud (CSP), ad esempio Amazon Web Services (AWS), Google Cloud Services, IBM® Cloud o Microsoft Azure, gestiscono l'infrastruttura sottostante, risparmiando alle organizzazioni il costo dei server e di altre attrezzature, oltre a fornire backup di rete automatizzati per un'ulteriore affidabilità. Le infrastrutture cloud si scalano su richiesta e regolano dinamicamente le risorse di calcolo, la capacità e l'infrastruttura al variare dei requisiti di carico. Inoltre, i CSP aggiornano regolarmente le offerte, offrendo agli utenti l'accesso continuo alle tecnologie innovative più recenti, come  l'AI generativa.

Molti dei principali fornitori di cloud service offrono i Container as a Service (CaaS). Fondamentalmente un sottoinsieme di infrastructure as a service (IaaS), il CaaS si colloca tra IaaS e platform as a service (PaaS) nello stack di cloud computing, fornendo un equilibrio tra il controllo offerto da IaaS e la semplicità di PaaS.

Il CaaS fornisce una piattaforma basata su cloud in cui gli utenti possono semplificare i processi di virtualizzazione basata sui container e la gestione dei container stessi. Il CaaS fornisce anche tempi di esecuzione dei container, livelli di orchestrazione e gestione dello storage persistente. Nel 2022, il mercato globale del CaaS era valutato in quasi 2 miliardi di dollari.⁵

Ilserverless computing (serverless) è un modello di sviluppo ed esecuzione di applicazioni che consente agli sviluppatori di creare ed eseguire il codice delle applicazioni senza eseguire il provisioning o gestire server o infrastrutture di backend.

Nel serverless computing, il fornitore di cloud service alloca le risorse delle macchine su richiesta, gestendo i server per conto dei propri clienti. In particolare, lo sviluppatore e il CSP gestiscono il provisioning dell'infrastruttura cloud necessaria per eseguire il codice e scalare l'infrastruttura in base alle esigenze. Il fornitore aderisce a un modello di prezzo pay-as-you-go.

Il computing serverless può migliorare la produttività degli sviluppatori, consentendo ai team di concentrarsi sulla scrittura del codice, non sulla gestione dell'infrastruttura. Al contrario, i container offrono maggiore controllo e maggiore flessibilità, che possono aiutare a gestire le applicazioni esistenti e a migrarle nel cloud.

Le procedure di sicurezza per gli ambienti containerizzati richiedono una strategia che copra l'intero ciclo di vita del container, inclusi sviluppo, test e distribuzione.

Queste pratiche devono riguardare tutti i livelli dello stack, inclusa la piattaforma di containerizzazione, le immagini del container, la piattaforma di orchestrazione e i singoli container e applicazioni.

Innanzitutto, le politiche di sicurezza dei container devono ruotare attorno a un framework zero trust. Questo modello verifica e autorizza ogni connessione utente e assicura che l'interazione soddisfi i requisiti condizionali delle politiche di sicurezza dell'organizzazione. Inoltre, una strategia di sicurezza zero-trust autentica e autorizza ogni dispositivo, flusso di rete e connessione in base a politiche dinamiche, utilizzando il contesto del maggior numero possibile di fonti di dati.

La sicurezza dei container è diventata una preoccupazione più significativa in quanto sempre più organizzazioni si affidano alla tecnologia di containerizzazione, comprese le piattaforme di orchestrazione, per implementare e scalare le proprie applicazioni. Secondo un rapporto di Red Hat⁶, le vulnerabilità e le configurazioni non corrette sono i principali problemi di sicurezza negli ambienti container e Kubernetes.

Come accennato in precedenza, le applicazioni containerizzate hanno intrinsecamente un livello di sicurezza in quanto possono essere eseguite come processi isolati e funzionare indipendentemente da altri container. Realmente isolati, questo potrebbe impedire a qualsiasi codice dannoso di influire su altri container o invadere il sistema host. Tuttavia, i livelli applicativi all'interno di un container sono spesso condivisi tra i container. Per quanto riguarda l'efficienza delle risorse, questo è un vantaggio, ma apre anche la porta a interferenze e violazioni della sicurezza nei container. Lo stesso si potrebbe dire del sistema operativo condiviso, dal momento che più container possono essere associati allo stesso sistema operativo host. Le minacce alla sicurezza del sistema operativo comune possono avere un impatto su tutti i container associati; al contrario, una violazione del container potenzialmente può invadere il sistema operativo host.

Ma per quanto riguarda i rischi e le vulnerabilità associati all'immagine del container stesso? Una solida strategia di containerizzazione include un approccio "secure-by-default", il che significa che la sicurezza dovrebbe essere inerente alla piattaforma e non una soluzione implementata e configurata separatamente. A tal fine, il motore del container supporta tutte le proprietà di isolamento predefinite inerenti al sistema operativo sottostante. È possibile definire autorizzazioni di sicurezza per bloccare automaticamente l'ingresso di componenti indesiderati nei container o limitare le comunicazioni con risorse non necessarie.

Ad esempio, Linux Namespaces aiuta a fornire una vista isolata del sistema a ciascun container; questo include la rete, i punti di montaggio, gli ID di processo, gli ID utente, la comunicazione tra processi e le impostazioni del nome host. I namespace possono limitare l'accesso a una qualsiasi di queste risorse attraverso processi all'interno di ciascun container. In genere, i sottosistemi che non supportano Namespace non sono accessibili dall'interno di un container. Gli amministratori possono creare e gestire facilmente questi "vincoli di isolamento" su ogni applicazione containerizzata attraverso una semplice interfaccia utente.

È inoltre disponibile un'ampia gamma di soluzioni per la sicurezza dei container per automatizzare il rilevamento e la risposta alle minacce in tutta l'azienda. Questi strumenti aiutano a monitorare e ad applicare le policy di sicurezza e a soddisfare gli standard di settore per garantire un flusso sicuro di dati. Ad esempio, gli strumenti software di gestione della sicurezza possono aiutare ad automatizzare le pipeline CI/CD, bloccare le vulnerabilità prima della produzione e indagare sulle attività sospette con visibilità in tempo reale. Questo approccio rientra in DevSecOps, il processo di applicazione e sviluppo che automatizza l'integrazione delle pratiche di sicurezza a tutti i livelli del ciclo di vita dello sviluppo del software.