Proxmox üstünde Docker nerede durur: yerleşim kararı ve compose tuzağı

Proxmox kurulu, konteyner çalıştırmak istiyorsunuz. Soru "nasıl kurarım" değil, nereye koyarım. Ve bu bir zevk meselesi değil, bir şey bozulduğunda kaç şeyin birden bozulacağı meselesi.

Üç yerleşim

Doğrudan sunucunun üstüne. En kolayı ve tam da yapılmaması gereken. Sunucu, üstündeki her şeyin dayandığı katmandır. Oraya kurduğunuz her şey artık bütün sanal makinelerin patlama yarıçapı içindedir: bir bağımlılık çakışması, dolan bir disk ya da kötü bir güncelleme yalnız konteynerlerinizi değil hepsini birden götürür.

Bir sistem konteynerinin içine. Hafiftir ve hızlı kurulur. Karşılığında konteyner içinde konteyner çalıştırmış olursunuz, ve bu düzenin kendine has keskin kenarları vardır: izin modeli, dosya sistemi katmanları, çekirdek paylaşımı. Bilerek seçilirse makul, "daha kolaydı" diye seçilirse sürpriz üretir.

Bir sanal makinenin içine. Kâğıt üstünde en ağır, pratikte en temiz olan. Konteyner düzeni çöktüğünde çöken şey bir sanal makinedir, sunucunuz değil. Yeniden kurmak istediğinizde de tek bir makineyi yeniden kurarsınız.

Kararı veren tek soru

"Bu bozulursa geri kalan her şeye ne olur?" Sunucunun üstünde cevap "hepsi", bir sanal makinenin içinde cevap "bir tanesi". Kaynak kullanımı, kurulum kolaylığı, hepsi bu cevabın yanında ikincil kalır.

İkinci yarı: compose bir programdır

Bir compose dosyası yapılandırma gibi görünür. Değildir. Onu çalıştırmak kod çalıştırmaktır, ve sizin yetkinizle çalışır. İçindeki iki satır, konteynere makinenin tamamını verebilir.

İnsanlar internetten compose dosyası kopyalarken, komut kopyalarken hissettikleri tedirginliği hissetmezler. Aradaki fark tehlikede değil, görüntüde: komut komuta benzer, compose ise ayar dosyasına benzer. Benzemesi onu güvenli yapmaz.

Çalıştırmadan önce bakılacak dört satır

Sunucunun dosya sistemini içeri bağlıyor mu. Ayrıcalıklı kip istiyor mu. Konteyner yönetiminin kendi soketini içeri veriyor mu. Sunucunun ağını doğrudan kullanıyor mu.

Bu dördü konteyner sınırını delen satırlardır: biri varsa, o konteyner artık bir konteyner değil, sunucunun kendisidir. Okuması on saniye sürer ve o on saniye, bu maddedeki her şeyden daha çok işe yarar.

Atlas ne yapıyor

Atlas compose dosyalarını ve kurulum betiklerini kurulumdan önce tarar, ve bu tarama arayüzde değil sunucu tarafında durur. Yani arayüz ne gönderirse göndersin kontrol atlanamaz.

Bulgular iki seviyeye ayrılır. Kırmızı, konteyneri konteyner sınırının dışına çıkaran şey demektir, yani sunucuya denk yetki; bu durumda açık onay istenir. Sarı, bilerek yapılabilecek ama size söylenmesi gereken şeydir. Uygulama kataloğu tarafında ise kırmızı hiç kabul edilmez.

Bir ayrıntı daha var ve önemli: tarayıcı yorum yapmaz, olguyu bildirir. "Bu tehlikeli" demez, "bu satır şunu yapıyor" der. Kararı okuyan verir, çünkü aynı satır bir kurulumda kabul edilebilir, diğerinde kabul edilemez olabilir.