Containermiljöer

Containermiljöer är isolerade körmiljöer som skapas från containerbilder och körs på värddatorn med OS-nivåvirtualisering. Varje container har eget filsystem och körs med begränsad resurstilldelning, medan kärnan delas med andra containrar. Containrarna är avsedda att köra en applikation eller tjänst i en snabb och portabel miljö.

En containerbild innehåller kod, beroenden och konfiguration, och byggs i lager. En container-runtime (tex Docker, containerd eller CRI-O) startar och hanterar containern. Bilder lagras i registries och kan användas i olika miljöer; orkestrering med Kubernetes eller Docker Swarm hanterar många containrar över flera noder, inklusive distribution, skalning och återhämtning.

Isolering uppnås med namnrum (namespaces) och cgroups; säkerhetsåtgärder inkluderar seccomp, AppArmor/SELinux och möjligheten att köra som icke-root-användare. För att öka säkerheten används bildskanningar, signerade bilder och minimala basbilder.

Fördelar med containermiljöer är portabilitet, snabb uppstart och effektiv resursanvändning samt reproducibilitet över miljöer. Utmaningar inkluderar säkerhetsaspekter vid delad kärna, hantering av persistenta data utanför containern och behov av avancerad orkestrering, övervakning och loggning.

Användningsområden är ofta mikroservicebaserade system, CI/CD-pipelines samt test- till produktionsdistributioner. Bästa praxis är att använda små och säkra basbilder, multi-steg-byggning, tydlig versionshantering, användning av volymer för data samt tydliga policyer för resurser, nätverk och säkerhet.