Docker

Einführung

Container sind eine schlanke Virtualisierungslösung

Dabei laufen die Prozesse direkt im Kernel des Host-Betriebssystems, aber abgeschottet von den anderen Prozessen durch Linux-Techniken wie

• cgroups
• namespaces
• unter Windows kommt dafür der WSL2 zum Einsatz
• unter macOS wird eine kleine Virtualisierung genutzt

Vorteile

Container sind nützlich, wenn an mehreren Stellen eine identische Arbeitsumgebung benötigt wird

• Man kann dabei entweder die Images (fertige Dateien) oder die Dockerfiles (Anweisungen zum Erzeugen eines Images) im Projekt verteilen
• Tatsächlich ist es nicht unüblich, ein Dockerfile in das Projekt-Repo mit einzuchecken

Kein Sicherheitsgewinn

Durch Container hat man allerdings im Gegensatz zu herkömmlichen VMs keinen Sicherheitsgewinn, da die im Container laufende Software ja direkt auf dem Host-Betriebssystem ausgeführt wird

Fertige Images

Es gibt auf DockerHub fertige Images, die man sich ziehen und starten kann

• Ein solches gestartetes Image nennt sich dann Container und enthält beispielsweise Dateien, die in den Container gemountet oder kopiert werden
• Man kann auch eigene Images bauen, indem man eine entsprechende Konfiguration (Dockerfile) schreibt
• Jeder Befehl bei der Erstellung eines Images erzeugt einen neuen Layer, die sich dadurch mehrere Images teilen können

In der Konfiguration einer Gitlab-CI-Pipeline kann man mit image ein Docker-Image angeben, welches dann in der Pipeline genutzt wird

VSCode

VSCode kann über das Remote-Plugin sich (u.a.) mit Containern verbinden und dann im Container arbeiten (editieren, compilieren, debuggen, testen, ...)

In dieser kurzen Einheit kann ich Ihnen nur einen ersten Einstieg in das Thema geben

• Wir haben uns beispielsweise nicht Docker Compose oder Kubernetes angeschaut, und auch die Themen Netzwerk (zwischen Containern oder zwischen Containern und anderen Rechnern) und Volumnes habe ich außen vor gelassen
• Dennoch kommt man in der Praxis bereits mit den hier vermittelten Basiskenntnissen erstaunlich weit

Videos (YouTube)

• VL Einführung in Docker
• Demo Container in der Konsole
• Demo GitLab CI/CD und Docker
• Demo GitHub Actions und Docker
• Demo VSCode und Docker

Videos (HSBI-Medienportal)

• VL Einführung in Docker

Lernziele

• (K2) Unterschied zwischen Containern und VMs
• (K2) Einsatzgebiete für Container
• (K2) Container laufen als abgeschottete Prozesse auf dem Host - kein Sandbox-Effekt
• (K3) Container von DockerHub ziehen
• (K3) Container starten
• (K3) Eigene Container definieren und bauen
• (K3) Einsatz von Containern in GitLab CI/CD und GitHub Actions
• (K3) Einsatz von VSCode und Containern

Motivation

Motivation CI/CD: WFM (''Works For Me'')

Auf dem CI-Server muss man eine Arbeitsumgebung konfigurieren und bereitstellen, für Java-basierte Projekte muss beispielsweise ein JDK existieren und man benötigt Tools wie Maven oder Gradle, um die Buildskripte auszuführen

• Je nach Projekt braucht man dann noch weitere Tools und Bibliotheken
• Diese Konfigurationen sind unabhängig vom CI-Server und werden üblicherweise nicht direkt installiert, sondern über eine Virtualisierung bereitgestellt

Selbst wenn man keine CI-Pipelines einsetzt, hat man in Projekten mit mehreren beteiligten Personen häufig das Problem "WFM" ("works for me")

• Jeder Entwickler hat sich auf ihrem Rechner eine Entwicklungsumgebung aufgesetzt und nutzt in der Regel seine bevorzugte IDE oder sogar unterschiedliche JDK-Versionen
• Dadurch kann es schnell passieren, dass Probleme oder Fehler auftreten, die sich nicht von allen Beteiligten immer nachvollziehen lassen
• Hier wäre eine einheitliche Entwicklungsumgebung sinnvoll, die in einer "schlanken" Virtualisierung bereitgestellt wird

Als Entwickler kann man zeitgleich in verschiedenen Projekten beteiligt sein, die unterschiedliche Anforderungen an die Entwicklungstools mit sich bringen

• Es könnte beispielsweise passieren, dass man zeitgleich drei bestimmte Python-Versionen benötigt
• In den meisten Fällen schafft man es (mit ein wenig Aufwand), diese Tools nebeneinander zu installieren
• Oft ist das in der Praxis aber schwierig und fehleranfällig

In diesen Fällen kann eine Virtualisierung helfen

Container vs. VM

Wenn man über Virtualisierung auf dem Desktop spricht, kann man grob zwei Varianten unterscheiden

• In beiden Fällen ist die Basis die Hardware (Laptop, Desktop-Rechner) und das darauf laufende (Host-) Betriebssystem (Linux, FreeBSD, macOS, Windows, ...)
• Darauf läuft dann wiederum die Virtualisierung

Im rechten Bild wird eine herkömmliche Virtualisierung mit virtuellen Maschinen (VM) dargestellt

• Dabei wird in der VM ein komplettes Betriebssystem (das "Gast-Betriebssystem") installiert und darin läuft dann die gewünschte Anwendung
• Die Virtualisierung (VirtualBox, VMware, ...) läuft dabei als Anwendung auf dem Host-Betriebssystem und stellt dem Gast-Betriebssystem in der VM einen Rechner mit CPU, RAM,
• zur Verfügung und übersetzt die Systemaufrufe in der VM in die entsprechenden Aufrufe im Host-Betriebssystem
• Dies benötigt in der Regel entsprechende Ressourcen: Durch das komplette Betriebssystem in der VM ist eine VM (die als Datei im Filesystem des Host-Betriebssystems liegt) oft mehrere 10GB groß
• Für die Übersetzung werden zusätzlich Hardwareressourcen benötigt, d.h
• hier gehen CPU-Zyklen und RAM "verloren"
• Das Starten einer VM dauert entsprechend lange, da hier ein komplettes Betriebssystem hochgefahren werden muss
• Dafür sind die Prozesse in einer VM relativ stark vom Host-Betriebssystem abgekapselt, so dass man hier von einer "Sandbox" sprechen kann: Viren o.ä
• können nicht so leicht aus einer VM "ausbrechen" und auf das Host-Betriebssystem zugreifen (quasi nur über Lücken im Gast-Betriebssystem kombiniert mit Lücken in der Virtualisierungssoftware)

Im linken Bild ist eine schlanke Virtualisierung auf Containerbasis dargestellt

• Die Anwendungen laufen direkt als Prozesse im Host-Betriebssystem, ein Gast-Betriebssystem ist nicht notwendig
• Durch den geschickten Einsatz von namespaces und cgroups und anderen in Linux und FreeBSD verfügbaren Techniken werden die Prozesse abgeschottet, d.h
• der im Container laufende Prozess "sieht" die anderen Prozesse des Hosts nicht
• Die Erstellung und Steuerung der Container übernimmt hier beispielsweise Docker
• Die Container sind dabei auch wieder Dateien im Host-Filesystem
• Dadurch benötigen Container wesentlich weniger Platz als herkömmliche VMs, der Start einer Anwendung geht deutlich schneller und die Hardwareressourcen (CPU, RAM, ...) werden effizient genutzt
• Nachteilig ist, dass hier in der Regel ein Linux-Host benötigt wird (für Windows wird mittlerweile der Linux-Layer (WSL) genutzt; für macOS wurde bisher eine Linux-VM im Hintergrund hochgefahren, mittlerweile wird aber eine eigene schlanke Virtualisierung eingesetzt)
• Außerdem steht im Container üblicherweise kein graphisches Benutzerinterface zur Verfügung
• Da die Prozesse direkt im Host-Betriebssystem laufen, stellen Container keine Sicherheitsschicht ("Sandboxen") dar!

In allen Fällen muss die Hardwarearchitektur beachtet werden: Auf einer Intel-Maschine können normalerweise keine VMs/Container basierend auf ARM-Architektur ausgeführt werden und umgekehrt

VSCode und das Plugin "Remote - Containers"

1. VSCode (Host): Plugin "Remote - Containers" installieren
2. Docker (Host): Container starten mit Workspace gemountet
3. VSCode (Host): Attach to Container => neues Fenster (Container)
4. VSCode (Container): Plugin "Java Extension Pack" installieren
5. VSCode (Container): Dateien editieren, kompilieren, debuggen,

Mit Visual Studio Code (VSC) kann man über SSH oder in einem Container arbeiten

• Dazu installiert man sich VSC lokal auf dem Host und installiert dort das Plugin "Remote - Containers"
• VSC kann darüber vordefinierte Docker-Images herunterladen und darin arbeiten oder man kann alternativ einen Container selbst starten und diesen mit VSC verbinden ("attachen")

Beim Verbinden öffnet VSC ein neues Fenster, welches mit dem Container verbunden ist

• Nun kann man in diesem neuen Fenster ganz normal arbeiten, allerdings werden alle Dinge in dem Container erledigt
• Man öffnet also Dateien in diesem Container, editiert sie im Container, übersetzt und testet im Container und nutzt dabei die im Container installierten Tools
• Sogar die entsprechenden VSC-Plugins kann man im Container installieren

Damit benötigt man auf einem Host eigentlich nur noch VSC und Docker, aber keine Java-Tools o.ä

• und kann diese über einen im Projekt definierten Container (über ein mit versioniertes Dockerfile) nutzen

Anmerkung: IntelliJ kann remote nur debuggen, d. h. das Editieren, Übersetzen, Testen läuft lokal auf dem Host (und benötigt dort den entsprechenden Tool-Stack)

• Für das Debuggen kann Idea das übersetzte Projekt auf ein Remote (SSH, Docker) schieben und dort debuggen

Noch einen Schritt weiter geht das Projekt code-server: Dieses stellt u. a. ein Docker-Image codercom/code-server bereit, welches einen Webserver startet und über diesen kann man ein im Container laufendes (angepasstes) VSC erreichen

• Man braucht also nur noch Docker und das Image und kann dann über den Webbrowser programmieren
• Der Projektordner wird dabei in den Container gemountet, so dass die Dateien entsprechend zur Verfügung stehen:

docker run -it --name code-server -p 127.0.0.1:8080:8080 -v "$HOME/.config:/home/coder/.config" -v "$PWD:/home/coder/project" codercom/code-server:latest

Auf diesem Konzept setzt auch der kommerzielle Service GitHub Codespaces von GitHub auf

Link-Sammlung

• Wikipedia: Docker
• Wikipedia: Virtuelle Maschinen
• Docker: Überblick, Container
• Docker: HowTo
• DockerHub: Suche nach fertigen Images
• Docker und Java
• Dockerfiles: Best Practices
• Gitlab, Docker
• VSCode: Entwickeln in Docker-Containern
• [DockerInAction] und [DockerInPractice]

Wrap-Up

• Schlanke Virtualisierung mit Containern (kein eigenes OS)
• Kein Sandbox-Effekt
• Begriffe: Docker-File vs. Image vs.  Container
• Ziehen von vordefinierten Images
• Definition eines eigenen Images
• Arbeiten mit Containern: lokal, CI/CD, VSCode

Quizzes

• Quiz Docker (ILIAS)

Quellen

• [DockerInAction] Docker in Action Nickoloff, D., Manning Publications, 2019. ISBN 978-1-6172-9476-1
• [DockerInPractice] Docker in Practice Miell, I. und Sayers, A. H., Manning Publications, 2019. ISBN 978-1-6172-9480-8
• [Inden2013] Der Weg zum Java-Profi Inden, M., dpunkt.verlag, 2013. ISBN 978-3-8649-1245-0

1. https://www.hsbi.de/elearning/data/FH-Bielefeld/lm_data/lm_1359639/building/docker.html