Hol a helye a Dockernek a Proxmoxon: az elhelyezés döntése és a compose csapdája

A Proxmox telepítve van, és konténerek futtatása következik. A kérdés nem az, hogy "hogyan kell telepíteni", hanem az, hogy hová kerüljön. Ez pedig nem ízlés kérdése, hanem azé, hogy egy dolog elromlásakor hány másik dől ki vele.

Három lehetséges hely

Közvetlenül a gazdagépen. A legegyszerűbb, és pontosan az, amit nem érdemes megtenni. A gazdagép az a réteg, amelyen minden fölötte lévő nyugszik. Bármi, ami oda települ, ettől kezdve minden virtuális gép kockázati körén belül van: egy függőségi ütközés, egy megtelt lemez vagy egy rossz frissítés nem csak a konténereket viszi el, hanem egyszerre az egészet.

Rendszerkonténeren belül. Könnyű, és gyorsan beállítható. Cserébe konténerek futnak egy konténeren belül, és ennek az elrendezésnek megvannak a maga éles peremei: a jogosultsági modell, a fájlrendszer rétegei, a közös kernel. Tudatos választásként ésszerű; ha viszont azért esik rá a választás, mert "így volt egyszerűbb", meglepetéseket szül.

Virtuális gépen belül. Papíron a legnehezebb, a gyakorlatban a legtisztább. Amikor a konténeres összeállítás felborul, egyetlen virtuális gép borul fel, nem a szerver. És ha újraépítésre kerül a sor, egyetlen gép épül újra.

Az egyetlen kérdés, amely eldönti

"Ha ez elromlik, mi történik minden mással?" A gazdagépen a válasz az, hogy "az egész", virtuális gépen belül pedig az, hogy "az egyik". Az erőforrás-használat, a telepítés könnyűsége, mindez másodlagos e válasz mellett.

A másik fele: a compose program

A compose fájl beállításnak látszik. Nem az. A futtatása kód futtatása, méghozzá a futtató saját jogosultságaival. Két sor benne az egész gépet átadhatja a konténernek.

Amikor valaki az internetről másol egy compose fájlt, nem érzi azt a nyugtalanságot, amelyet egy parancs másolásakor érezne. A különbség nem a veszélyben van, hanem a külsőben: a parancs parancsnak látszik, a compose pedig beállításfájlnak. A látszat viszont nem teszi biztonságossá.

Négy sor, amelyet futtatás előtt érdemes megnézni

Becsatolja-e a gazdagép fájlrendszerét. Kér-e privilegizált módot. Beadja-e a konténerkezelés saját socketjét. Közvetlenül a gazdagép hálózatát használja-e.

Ez a négy sor az, amely átüti a konténerhatárt: ha bármelyik ott van, az a konténer többé nem konténer, hanem maga a gazdagép. Az elolvasásuk tíz másodperc, és ez a tíz másodperc többet ér, mint ebben a bejegyzésben minden más.

Mit csinál az Atlas

Az Atlas a compose fájlokat és a telepítőszkripteket a telepítés előtt átvizsgálja, és ez a vizsgálat a szerveren ül, nem a felületen. Így bármit is küld a felület, az ellenőrzés nem kerülhető meg.

A megállapítások két szinten érkeznek. A piros olyasmit jelöl, ami a konténert a konténerhatáron kívülre viszi, vagyis a gazdagéppel egyenértékű jogosultságot ad; ilyenkor kifejezett jóváhagyás szükséges. A sárga olyasmit jelöl, ami tudatosan is megtehető, de amiről szólni kell. Az alkalmazáskatalógus oldalán a piros egyáltalán nem elfogadott.

Van még egy részlet, és ez számít: a vizsgáló nem véleményt mond, hanem tényt közöl. Nem azt mondja, hogy "ez veszélyes", hanem azt, hogy "ez a sor ezt teszi". A döntés az olvasóé, mert ugyanaz a sor az egyik összeállításban elfogadható, a másikban nem.